Android安全机制（2） Android(安卓)Permission权限控制机制
1、概述
我们在Android安全机制（1）中介绍过基于UID和GID的Android进程隔离机制。 这是利用 Linux 已有的权限管理机制，通过为每一个 Application 分配不同的 uid 和 gid ， 从而使得不同的 Application 之间的私有数据和访问（ native 以及 java 层通过这种 sandbox 机制，都可以）达到隔离的目的 。 与此同时， Android 还 在此基础上进行扩展，提供了 permission 机制，一个GIDS就是一个Permission的集合,它主要是用来对 Application 可以执行的某些具体操作进行权限细分和访问控制，同时提供了 per-URI permission 机制，用来提供对某些特定的数据块进行 ad-hoc 方式的访问.
2、Android Permission机制
2.1 权限基本信息
一个权限主要包含三个方面的信息：权限的名称；属于的权限组；保护级别。一个权限组是指把权限按照功能分成的不同的集合。每一个权限组包含若干具体权限，例如在 android.permission-group.CONTACTS 组中包含 android.permission.WRITE_CONTACTS ， android.permission.GET_ACCOUNTS，android.permission.READ_CONTANTS 等和联系人相关的权限。可以通过pm list 命令去获取相应的permission信息。也可以通过查看/data/sytem/packages.xml文件来获取。
$ adb shell pm list permissions -fAll Permissions: + permission:android.permission.REAL_GET_TASKS package:android label:null description:null protectionLevel:signature|privileged+ permission:android.permission.REMOTE_AUDIO_PLAYBACK package:android label:null description:null protectionLevel:signature--snip--$adb shell pm list permissions -g -dDangerous Permissions:group:android.permission-group.CONTACTS permission:android.permission.WRITE_CONTACTS permission:android.permission.GET_ACCOUNTS permission:android.permission.READ_CONTACTSgroup:android.permission-group.PHONE permission:android.permission.READ_CALL_LOG permission:android.permission.ANSWER_PHONE_CALLS permission:android.permission.READ_PHONE_NUMBERS permission:android.permission.READ_PHONE_STATE permission:android.permission.CALL_PHONE permission:android.permission.WRITE_CALL_LOG permission:android.permission.USE_SIP permission:android.permission.PROCESS_OUTGOING_CALLS permission:com.android.voicemail.permission.ADD_VOICEMAIL--snip--2.2 权限等级
Android权限等级划分为normal,dangerous,signature,signatureOrSystem,system,development，不同的保护级别代表了程序要使用此权限时的认证方式。
normal 的权限只要申请了就可以使用，dangerous 的权限在安装时需要用户确认才可以使用，signature需要签名才能赋予权限，signatureOrSystem需要签名或者系统级应用(放置在/system/app目录下)才能赋予权限，system系统级应用(放置在/system/app目录下)才能赋予权限，系统权限的描述在frameworks/base/core/res/AndroidManifest.xml当中。
android 6.0（api level 23)之后进行了一次权限大升级，其中出现了一个新的protectionLevel叫做"signature|privileged"，signatureOrSystem变成了deprecated。在这之后，系统分成了system app和priviledged app，其中/system/app目录下的应用只有system权限，而/system/priv-app/目录下的应用才有privileged app 权限。而"signature|privileged"的权限等同于android6.0之前的signatureOrSystem。大于等于此时的system权限。可以参考这篇文章《Android权限的一些细节》。
2.3 权限管理
Package 的权限信息主要 通过在 AndroidManifest.xml 中通过一些标签来指定。如
3、Android 提供的Permission 接口
3.1、CheckPermission
下面这一组接口主要用来检查某个调用（或者是其它 package 或者是自己）是否拥有访问某个 permission 的权限。参数中 pid 和 uid 可以指定，如果没有指定，那么 framework 会通过 Binder 来获取调用者的 uid 和 pid 信息，加以填充。返回值为 PackageManager.PERMISSION_GRANTED 或者 PackageManager.PERMISSION_DENIED
public int checkPermission(String permission, int pid, int uid) // 检查某个 uid 和 pid 是否有 permission 权限
public int checkCallingPermission(String permission) // 检查调用者是否有 permission 权限，如果调用者是自己那么返回 PackageManager.PERMISSION_DENIED
public int checkCallingOrSelfPermission(String permission) // 检查自己或者其它调用者是否有 permission 权限
下面这一组和上面类似，如果遇到检查不通过时，会抛出异常，打印消息 。
public void enforcePermission(String permission, int pid, int uid, String message)
public void enforceCallingPermission(String permission, String message)
public void enforceCallingOrSelfPermission(String permission, String message)
3.2、CheckUriPermission
为某个 package 添加访问 content Uri 的读或者写权限。
public void grantUriPermission(String toPackage, Uri uri, int modeFlags)
public void revokeUriPermission(Uri uri, int modeFlags)
检查某个 pid 和 uid 的 package 是否拥有 uri 的读写权限，返回值表示是否被 granted 。
public int checkUriPermission(Uri uri, int pid, int uid, int modeFlags)
public int checkCallingUriPermission(Uri uri, int modeFlags)
public int checkCallingOrSelfUriPermission(Uri uri, int modeFlags)
public int checkUriPermission(Uri uri, String readPermission,String writePermission, int pid, int uid, int modeFlags)
检查某个 pid 和 uid 的 package 是否拥有 uri 的读写权限，如果失败则抛出异常，打印消息 。
public void enforceUriPermission(Uri uri, int pid, int uid, int modeFlags, String message)
public void enforceCallingUriPermission(Uri uri, int modeFlags, String message)
public void enforceCallingOrSelfUriPermission(Uri uri, int modeFlags, String message)
public void enforceUriPermission(Uri uri, String readPermission, String writePermission,int pid, int uid, int modeFlags, String message)
其中check开头的，只做检查，enforce开头的，不单检查，没有权限的还会抛出异常。
4、权限机制实现分析
4.1、CheckPermission
1. 如果传入的 permission 名称为 null ，那么返回 PackageManager.PERMISSION_DENIED 。
2. 判断调用者 uid 是否符合要求 。
1 ） 如果 uid 为 0 ，说明是 root 权限的进程，对权限不作控制。
2 ） 如果 uid 为 system server 进程的 uid ，说明是 system server ，对权限不作控制。
3 ） 如果是 ActivityManager 进程本身，对权限不作控制。
4 ）如果调用者 uid 与参数传入的 req uid 不一致，那么返回 PackageManager.PERMISSION_DENIED 。
3. 如果通过 2 的检查后，再 调用 PackageManagerService.checkUidPermission ，判断 这个 uid 是否拥有相应的权限，分析如下 。
1 ） 首先它通过调用 getUserIdLP ，去 PackageManagerService.Setting.mUserIds 数组中，根据 uid 查找 uid （也就是 package ）的权限列表。一旦找到，就表示有相应的权限。
2 ） 如果没有找到，那么再去 PackageManagerService.mSystemPermissions 中找。这些信息是启动时，从 /system/etc/permissions/platform.xml 中读取的。这里记录了一些系统级的应用的 uid 对应的 permission 。
3 ）返回结果 。
4.2、CheckUriPermission
1. 如果 uid 为 0 ，说明是 root 用户，那么不控制权限。
2. 否则，在 ActivityManagerService 维护的 mGrantedUriPermissions 这个表中查找这个 uid 是否含有这个权限，如果有再检查其请求的是读还是写权限。
5、总结
上文介绍过基于UID和GID的Android安全机制，使用的是Linux的权限访问控制，控制文件和设备访问。
这次讲的Android Permission权限机制是对Android安全机制的一个重要补充，控制了应用对于系统接口或者对外接口的访问。
后续再讲Android APK签名机制和Selinux Android
6、参考文献
1、http://dengzhangtao.iteye.com/blog/1990138
2、http://www.ibm.com/developerworks/cn/opensource/os-cn-android-sec/
3、http://www.cnblogs.com/senix/archive/2013/01/15/2853733.html
我的微博 黄舒颖-人工智能爱好者
GITHUB shuyinghuang
更多相关文章
- 《Android深入透析》之Android事件分发机制
- 实例分析android中的Binder通信机制（1）
- Android面试官，面试时总喜欢挖基础坑，整理了26道面试题牢固你基础！
- Android(安卓)M 新的运行时权限开发者需要知道的一切
- Android(安卓)Framework分析 ---- 1消息处理机制 java层
- Android(安卓)Framework分析 ---- 1消息处理机制 java层
- Android的消息机制，用Android线程间通信的Message机制，Android中Ha
- android短信发送
- Java.lang.ClassNotFound Instrumentation 测试异常