2

Google Play 预发布报告安全漏洞

您应用的网络安全配置允许所有域的明文流量。这可能允许窃听者拦截您的应用程序发送的数据。如果该数据是敏感的或用户可识别的，则可能会影响用户的隐私。

考虑仅通过将cleartextTrafficPermitted标志设置为 false 或为特定域添加加密策略来允许加密流量。学到更多

network_security_config.xml

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>

    <base-config cleartextTrafficPermitted="true">
        <trust-anchors>
            <certificates src="system"/>
        </trust-anchors>
    </base-config>

    <domain-config cleartextTrafficPermitted="true">
        <domain includeSubdomains="true">127.0.0.1</domain>
    </domain-config>
</network-security-config>

AndroidManifest.xml

 <application
        android:name="com.example.MyActivity"
        android:allowBackup="false"
        tools:replace="allowBackup"
        android:icon="@drawable/ic_launcher"
        android:label="@string/app_name"
        android:largeHeap="true"
        android:theme="@style/AppTheme"
        android:hardwareAccelerated="true"
        android:resizeableActivity="false"
        android:networkSecurityConfig="@xml/network_security_config">

我的疑问是，如果我将自己的域名 domain-config 设置为 cleartextTrafficPermitted="true" 例如

<domain-config cleartextTrafficPermitted="true">
        <domain includeSubdomains="true">http://my-domain.com</domain>
</domain-config>
  1. 它是否清除了我的安全漏洞问题？
  2. 如果我需要为我的第三方广告网络设置域配置，我需要知道吗？
4

2 回答 2

2

下面的配置清除了 Google Play 安全漏洞

笔记：

  1. 我们在 android pie 中只使用了 https url
  2. 要在 android pie 中使用 http，我们需要在 domain-config 中包含域名

<base-config cleartextTrafficPermitted="false">
    <trust-anchors>
        <certificates src="system"/>
    </trust-anchors>
</base-config>

<domain-config cleartextTrafficPermitted="true">
    <domain includeSubdomains="true">myowndomain.com</domain>
</domain-config>

于 2019-05-10T14:10:53.750 回答
-1

您必须在 AndroidManifes.xml 文件的应用程序标记上添加 android:usesCleartextTraffic="true" 的属性。

并添加这个。

<uses-library android:name="org.apache.http.legacy" android:required="false"/>
于 2019-10-10T09:42:18.830 回答