Restringir el acceso al proveedor de contenido

Question

No he encontrado una publicación que solicite la misma restricción que yo.

Tengo una aplicación que proporciona un proveedor de contenido (llámalo aplicación principal) a otras aplicaciones (llámalas aplicaciones de cliente). Quiero restringir el acceso al proveedor de contenido desde las aplicaciones del cliente para admitir solo los insertar y quizás consultar métodos.

Lo que no quiero:

• hacer que el proveedor de contenido privado ya que el objetivo principal es proporcionar una base de datos a las aplicaciones cliente.
• Restrinja el acceso con las firmas de las aplicaciones cliente porque cualquiera debe poder escribir una aplicación cliente que use la plataforma principal de la aplicación.

La solución más obvia que veo es escribir dos proveedores de contenido, uno con acceso completo privado de la aplicación principal y un público restringido. Pero creo que definitivamente esta no es una forma adecuada.

De acuerdo con este Google groups post, estoy pensando en utilizar Binder.getCallingUid() en las llamadas al proveedor de contenido para detectar si la llamada proviene de la aplicación principal o no. Así que no puedo hacer nada en actualización y eliminar los métodos si la llamada no proviene de la aplicación principal.

¿Cómo puedo obtener la aplicación principal UID para comparar? Y si es posible, ¿esta solución es segura?

Gracias por su consejo.

Answer 1

Definir un permiso, como a continuación con ProtectionLevel firma, este permiso de escritura se limita sólo a las aplicaciones que se firman con la clave privada misma

<permission android:name="com.yourapp.WRITE.PERMISSION" 
    android:protectionLevel="signature" 
     android:label="@string/permission_label" 
     android:description="@string/permission_desc"> 
</permission> 

<permission android:name="com.yourapp.READ.PERMISSION" 
     android:label="@string/permission_label" 
     android:description="@string/permission_desc"> 
</permission> 

Luego, en el uso de etiquetas ContentProvider leer y escribir etiquetas de permisos. Usted puede cumplir permiso de lectura o en conjunto podría eliminarlo

android:readPermission="com.yourapp.READ.PERMISSION" 
android:writePermission="com.yourapp.WRITE.PERMISSION" 

Así que sólo las aplicaciones que están firmadas por misma firma puede usar su proveedor de contenidos

Editar:

tal vez usted podría utilizar este

private Collection<String> getCallingPackages() { 
    int caller = Binder.getCallingUid(); 
    if (caller == 0) { 
     return null; 
    } 
    return Lists.newArrayList(mContext.getPackageManager().getPackagesForUid(caller)); 
} 

Y compruebe si su nombre de paquete está presente en esta lista. Creo que es seguro