阿里Android规范-09-安全

1.以下说法
【正确】
（1）不要广播敏感信息，只能在本应用使用LocalBroadcast，避免被别的应用收到，或者setPackage做限制
（2）不要把敏感信息打印到log中
（3）数据存储在Sqlite或者轻量级存储需要对数据进行加密，取出来的时候进行解密
（4）应用发布前确保android:debuggable属性设置为false
（5）当使用外部存储时，必须检查外部存储的可用性
（6）子线程中不能更新界面。更新界面必须在主线程中进行，网络操作不能再主线程中调用
（7）本地加密密钥不能硬编码在代码中，更不能使用SharedPreferences等本地持久化机制存储。应选择Android自身的秘钥库（KeyStore）机制或者其他安全性更高的安全解决方案保存
（8）应用程序在加解密时，使用硬编码在程序中的秘钥。攻击者通过反编译拿到秘钥可以轻易破解APP通信数据。
（9）不要使用loopback来通信敏感信息
（10）Android5.0以后安全性要求较高的应用应该使用window.setFlag(LayoutParam.FLAG_SECURE)禁止录屏
（11）密钥加密存储或者经过变形处理后用于加密解密运算，切勿硬编码到代码中。
（12）Webview应设置
WebView#getSetting()#setAllowFileAccess(false)、
WebView#getSettings()#setAllowFileAccessFromFileURLs(false)、WebView#getSetting()#setAllowUniversalAccessFromFileURLs(false)，
阻止fileschemeURL的访问
（13）源文件推荐统一采用UTF-8的形式进行编码
（14）灵活使用布局，推荐merge、ViewStub来优化布局，尽可能多的减少UI布局层级
（15）不能在Activity没有完全显示时显示PopupWindow和Dialog
（16）为解决连续显示Toast时不能取消上一次Toast消息的情况，使用一个全局的Toast对象
（17）为共享数据，可使用Intent进行数据传输
【错误】
（1）可多次为子View和父View设置同样背景
（2）使用TextView，编写倒计时组件时，使用wrap_content设置文本大小解决适配问题
（3）为避免主线卡顿，在非UI线程给ImageView设置背景图片

2.Android5.0以后安全性要求较高的应用应该使用( )禁止录屏
【正确】
（1）window#setFlag(LayoutParam.FLAG_SECURE)
【错误】
（1）window#setFlag(LayoutParam.FlAG_SPLIT_TOUCH)
（2）window#setFlag(LayoutParam.FlAG_BLUR_BEHIND)
（3）window#setFlag(LayoutParam.FlAG_KEEP_SCREEN_ON)

3.将( )属性设置为false，防止adbbackup导出数据
【正确】
（1）android:allowBackup
【错误】
（1）android:permission
（2）android:theme
（3）android:debuggable

4.禁止使用常量初始化矢量参数构建lvParameterSpec，建议IV通过（ ）产生
【正确】
（1）随机方式
【错误】
（1）常量初如化
（2）函数定义
（3）写死变量

5.加密算法：使用不安全的Hash算法加密信息，存在被破解的风险，建议使用（ )等安全性更高的Hash算法
【正确】
（1）SHA-256
【错误】
（1）SHA-128
（2）SHA-1
（3）MD5