您的应用正在使用包含 SQL 注入漏洞的内容提供程序

Question

我有 2 个应用程序。第二个应用程序通过内容提供程序与第一个应用程序交互以获取一些凭据。今天在 playstore 上传我的 apk 时出现错误-SQL 注入 您的应用正在使用包含 SQL 注入漏洞的内容提供程序。 要解决此问题，请按照此Google Help Center article 中的步骤操作。

现在我执行了文章中提到的所有步骤，但仍然遇到相同的错误。具体步骤如下：

如果受影响的 ContentProvider 需要暴露给其他应用：

• 您可以使用
  防止 SQL 注入 SQLiteDatabase.query 带有投影图的严格模式。严格模式防止
  恶意选择子句和投影图防范
  恶意投影条款。您必须同时使用这两个功能才能 确保您的查询是安全的。

• 您可以防止 SQL 注入到 SQLiteDatabase.update 和 SQLiteDatabase.delete 使用使用“？”的选择子句 作为可替换参数和单独的选择数组 论据。不应构建您的选择子句 来自不受信任的输入。

我的 SQLiteQueryBuilder 带有 set strict = true 和投影图。

    private static final HashMap<String,String> values;
    static {
        values = new HashMap<String, String>();
        values.put("_id", "_id");
        values.put("name", "name");
    }

        @Override
        public Cursor query(@NonNull Uri uri, @Nullable String[] projection, @Nullable String selection, @Nullable String[] selectionArgs, @Nullable String sortOrder) {
            SQLiteQueryBuilder qb = new SQLiteQueryBuilder();
            qb.setTables(TABLE_NAME);
            qb.setStrict(true);


        switch (uriMatcher.match(uri)) {
            case uriCode:
                qb.setProjectionMap(values);
                break;
            default:
                throw new IllegalArgumentException("Unknown URI " + uri);
        }

        if (sortOrder == null || sortOrder == "") {
            sortOrder = name;
        }
        Cursor c = qb.query(db, projection, selection, selectionArgs, null,
                null, sortOrder);
        c.setNotificationUri(getContext().getContentResolver(), uri);
        return c;
    }

Answer 1

这不是答案。 （我没有足够的声誉发表评论）。看起来该错误仅与内容提供程序中定义的更新和删除有关。上面的代码只是返回数据。我建议回到您的每个内容提供商并检查：

delete(Uri var1, String var2, String[] var3)
update(Uri var1, ContentValues var2, String var3, String[] var4);

TABLE_ID 案例应该有你提到的定义的选择和选择参数。在我最近的应用程序中，我定义了“=？”例如删除，但在调用 ContentResolver 时使用了 .delete(object_Url, null, null)。如果 object_Url 与 id 匹配，则对其进行解析并返回选择参数，例如

selection = CONTRACT._ID + "=?";
selectionArgs = new String[] {String.valueOf(ContentUris.parseId(uri))};