Google 拒绝对隐式 PendingIntent 漏洞进行补救更新

Question

当我尝试更新我的应用程序时 - 在审核过程中出现错误。隐式 PendingIntent 漏洞的修复 - https://support.google.com/faqs/answer/10437428。在我的应用程序中，我正在创建 PendingIntent - 用于 Firebase 推送通知：

内部类 FCMService 扩展了 FirebaseMessagingService

@Override
    public void onMessageReceived(@NotNull RemoteMessage remoteMessage) {
        super.onMessageReceived(remoteMessage);

        Intent intent = new Intent(this, ApplicationActivity.class);
        intent.setAction("com.google.firebase.MESSAGING_EVENT");
        intent.setPackage(getApplicationContext().getPackageName());

        Map<String, String> data = remoteMessage.getData();
        for (Map.Entry<String, String> entry : data.entrySet()) {
            String value = entry.getValue();
            String key = entry.getKey();
            if (key.equals(ApplicationActivity.LINK_URL) ||
                    key.equals(ApplicationActivity.FLOCKTORY_LINK_URL)) {
                intent.putExtra(ApplicationActivity.FLOCKTORY_LINK_URL, value);
                if (remoteMessage.getNotification() != null && remoteMessage.getNotification().getTitle() != null) {
                    intent.putExtra(ApplicationActivity.HMS_PUSH_TITLE, remoteMessage.getNotification().getTitle());
                }
            }
        }

        PendingIntent pendingIntent = PendingIntent.getActivity(this, 0, intent, PendingIntent.FLAG_IMMUTABLE);

        RemoteMessage.Notification notification = remoteMessage.getNotification();
        NotificationCompat.Builder builder = new NotificationCompat.Builder(this, getString(R.string.channel_id))
                .setSmallIcon(R.drawable.ic_launcher_notification)
                .setColor(getResources().getColor(R.color.colorNotification))
                .setContentTitle(notification == null ? "" : notification.getTitle())
                .setContentText(notification == null ? "" : notification.getBody())
                .setPriority(NotificationCompat.PRIORITY_DEFAULT)
                .setContentIntent(pendingIntent)
                .setAutoCancel(true);

        NotificationManagerCompat notificationManager = NotificationManagerCompat.from(this);
        notificationManager.notify(new Random(UUID.randomUUID().getLeastSignificantBits()).nextInt(), builder.build());

在清单中：

<service
            android:name="ru.svyaznoy.shop.domain.FCMService"
            android:exported="false">
            <intent-filter>
                <action android:name="com.google.firebase.MESSAGING_EVENT" />
            </intent-filter>
        </service>

实现“com.google.firebase:firebase-messaging:22.0.0”

minSdkVersion 24 目标SdkVersion 30

我只是无法弄清楚这段代码有什么问题 - 我通过设置了所有必填字段的显式 Intent。我的头在吹——这次更新非常重要。有没有人有类似的问题？

Answer 1

感谢@kkazakov 问题解决了。库 com.huawei.hms:push 包含隐式 PendingIntents 的不安全使用。谷歌批准了没有这个库的构建更新。

对我来说，是时候创建 gms 和 hms 构建风格，以避免将来与华为发生问题。

Answer 2

您示例中的 Intent 是具有给定操作的显式意图。所以这不应该是你更新问题的原因。

我面临着同样的安全问题，我认为造成这种情况的原因是依赖。因为我的应用程序中只有明确的待处理意图。

我认为谷歌不会因为他们自己的库中的漏洞而阻止更新，所以我目前正在调查华为 SDK 的依赖关系。这只是一个猜测，但没有来自 Play 商店的更多信息，我们唯一能做的就是猜测。