【发布时间】：2016-05-29 06:05:42
【问题描述】：
当您在 Android 项目中导入第三方 API（数据包依赖项注入、生成的库、源代码等）时，您会假设它们的行为与宣传的一样。大多数时候代码不是开源的，它被混淆或只是编译。
有没有办法控制此 API 对重要系统资源（如网络、联系人、视频和音频、位置）的访问？
最好的方法是为他们提供proxy 以获取系统资源。这将有以下好处：
- 可以通过在代理中提供模拟数据来执行测试
- 您的应用程序不必提供 API 所需的所有权限（如果它们不是必需的），并且代理会通过模拟授予的权限允许 API 不会因为权限而中断
- 过滤在本地收集的关于用户的可能数据并发送到 API 主存储库，用于广告或恶意意图
由于用户定义的活动和服务无法控制第三方 API 的服务，甚至无法阻止它们直接调用任何 Android 公共接口，因此我无法找到如何实现这样的解决方案。
该解决方案不应要求 root 访问权限，因为您不希望在自己的应用程序边界之外拥有此控件。
这个问题的内容与几个问题相关联，这些问题解决了这个广泛问题的特殊性（log data of content providers、network requests - 这让我在研究这个问题的答案时想到了这个问题）
注意：简短的回答是否定的，但一个人可以有足够的创造力（也许去本地级别的黑客可能会解决这个问题 - idk）
【问题讨论】：
-
您可以在单独的沙盒进程中运行该代码，该进程没有权限。但是，由于通常该代码会期望具有某些权限，因此该代码可能会崩溃。如果该库支持依赖注入，或许着眼于用于测试的模拟，您可能能够安装一种方法，将使用 IPC 从沙箱进程注入到您自己的“模拟”，以管理对受保护 API 的访问。但是，很少有图书馆会支持这一点。
-
@CommonsWare 是测试这一点的好方法，尽管有些恶意软件可以检测到它们何时处于测试状态，如果你所追求的是恶意意图。但是，如果您不打算构建新框架并仍然使用 API，那么问题仍然存在
标签： android api proxy android-security