2024年网络安全最新鸿蒙HarmonyOS开发实战—安全管理（权限开发）_鸿蒙权限，网络安全性能优化最佳实践

最新推荐文章于 2024-07-24 16:51:29 发布

2401_84545468

最新推荐文章于 2024-07-24 16:51:29 发布

阅读量884

点赞数 24

分类专栏：程序员文章标签：网络安全学习面试

本文链接：https://blog.csdn.net/2401_84545468/article/details/138761937

版权

程序员专栏收录该内容

163 篇文章 0 订阅

订阅专栏

如何自学黑客&网络安全

黑客零基础入门学习路线&规划

初级黑客
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包评论区留言即可领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，评论区点赞和评论区留言获取吧。我都会回复的

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些笔者自己买的、其他平台白嫖不到的视频教程。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

动态申请敏感权限基于用户可知可控的原则，需要应用在运行时主动调用系统动态申请权限的接口，系统弹框由用户授权，用户结合应用运行场景的上下文，识别出应用申请相应敏感权限的合理性，从而做出正确的选择。

即使用户向应用授予了请求的权限，应用在调用受此权限管控的接口前，也应该先检查自己有无此权限，而不能把之前授予的状态持久化，因为用户在动态授予后还可以通过设置取消应用的权限。

自定义权限

HarmonyOS为了保证应用对外提供的接口不被恶意调用，需要对调用接口的调用者进行鉴权。

大多情况下，系统已定义的权限满足了应用的基本需要，若有特殊的访问控制需要，应用可在config.json中以"defPermissions": []属性来定义新的权限，并通过“availableScope”和“grantMode”两个属性分别确定权限的开放范围和授权方式，使得权限定义更加灵活且易于理解。

为了避免应用自定义新权限出现重名的情况，建议应用对新权限的命名以包名的前两个字段开头，这样可以防止不同开发者的应用间出现自定义权限重名的情况。

权限保护方法

保护Ability：通过在config.json里对应的Ability中配置"permissions": [“权限名”]属性，即可实现保护整个Ability的目的，无指定权限的应用不能访问此Ability。
保护API：若Ability对外提供的数据或能力有多种，且开放范围或保护级别也不同，可以针对不同的数据或能力在接口代码实现中通过verifyPermission(String permissionName, int pid, int uid)来对uid标识的调用者进行鉴权。

约束与限制

同一应用自定义权限个数不能超过1024个。
同一应用申请权限个数不能超过1024个。
为避免与系统权限名冲突，应用自定义权限名不能以ohos开头，且权限名长度不能超过256字符。
自定义权限授予方式不能为user_grant。
自定义权限开放范围不能为restricted。

权限开发

场景介绍

HarmonyOS支持开发者自定义权限来保护能力或接口，同时开发者也可申请权限来访问受权限保护的对象。

权限申请

开发者需要在config.json文件中的“reqPermissions”字段中声明所需要的权限。

{
    "module": {
        "reqPermissions": [
            {
                "name": "ohos.permission.CAMERA",
                "reason": "$string:permreason_camera",
                "usedScene": 
                {
                    "ability": ["com.mycamera.Ability", "com.mycamera.AbilityBackground"],
                    "when": "always"
                }
            },{
            ...
            }
        ]
    }
}

权限申请格式采用数组格式，可支持同时申请多个权限，权限个数最多不能超过1024个。

键	值说明	类型	取值范围	默认值	规则约束
name	必须，填写需要使用的权限名称。	字符串	自定义	无	未填写时，解析失败。
reason	可选，当申请的权限为user_grant权限时此字段必填。描述申请权限的原因。	字符串	显示文字长度不能超过256个字节。	空	user_grant权限必填，否则不允许在应用市场上架。需做多语种适配。
usedScene	可选，当申请的权限为user_grant权限时此字段必填。描述权限使用的场景和时机。场景类型有：ability、when（调用时机）。可配置多个ability。	ability：字符串数组 when：字符串	ability：ability的名称 when：inuse（使用时）、always（始终）	ability：空 when：inuse	user_grant权限必填ability，可选填when。

如果声明使用的权限的grantMode是system_grant，则权限会在当应用安装的时候被自动授予。

如果声明使用的权限的grantMode是user_grant，则必须经用户手动授权（用户在弹框中授权或进入权限设置界面授权）才可使用。用户会看到reason字段中填写的理由，来帮助用户决定是否给予授权。

说明对于授权方式为user_grant的权限，每一次执行需要这一权限的操作时，都需要检查自身是否有该权限。当自身具有权限时，才可继续执行，否则应用需要请求用户授予权限。

自定义权限

开发者需要在config.json文件中的“defPermissions”字段中自定义所需的权限：

{
    "module": {
        "defPermissions": [
            {
                "name": "com.myability.permission.MYPERMISSION",
                "grantMode": "system_grant",
                "availableScope": ["signature"]
            }, {
            ...
            }
        ]
    }
}

权限定义格式采用数组格式，可支持同时定义多个权限，自定义的权限个数最多不能超过1024个。

defPermissions权限定义字段说明

键	值说明	类型	取值范围	默认值	规则约束
name	必填，权限名称。为最大可能避免重名，采用反向域公司名+应用名+权限名组合。	字符串	自定义	无	第三方应用不允许填写系统存在的权限，否则安装失败。未填写解析失败。权限名长度不能超过256个字符。
grantMode	必填，权限授予方式。	字符串	user_grant（用户授权）system_grant（系统授权）取值含义请参见：表3。	system_grant	未填值或填写了取值范围以外的值时，自动赋予默认值；不允许第三方应用填写user_grant，填写后会自动赋予默认值。
availableScope	选填，权限限制范围。不填则表示此权限对所有应用开放。	字符串数组	signatureprivilegedrestricted取值含义请参见：表4。	空	填写取值范围以外的值时，权限限制范围不生效。由于第三方应用并不在restricted的范围内，很少会出现权限定义者不能访问自身定义的权限的情况，所以不允许三方应用填写restricted。
label	选填，权限的简短描述，若未填写，则使用到简短描述的地方由权限名取代。	字符串	自定义	空	需要多语种适配。
description	选填，权限的详细描述，若未填写，则使用到详细描述的地方由label取代。	字符串	自定义	空	需要多语种适配。

user_grant（用户授权）
system_grant（系统授权）

取值含义请参见：表3。 system_grant 未填值或填写了取值范围以外的值时，自动赋予默认值；不允许第三方应用填写user_grant，填写后会自动赋予默认值。 availableScope 选填，权限限制范围。不填则表示此权限对所有应用开放。字符串数组

signature
privileged
restricted

取值含义请参见：表4。空填写取值范围以外的值时，权限限制范围不生效。由于第三方应用并不在restricted的范围内，很少会出现权限定义者不能访问自身定义的权限的情况，所以不允许三方应用填写restricted。 label 选填，权限的简短描述，若未填写，则使用到简短描述的地方由权限名取代。字符串自定义空需要多语种适配。 description 选填，权限的详细描述，若未填写，则使用到详细描述的地方由label取代。字符串自定义空需要多语种适配。

权限授予方式字段说明

授予方式 (grantMode)	说明	自定义权限是否可指定该级别	取值样例
system_grant	在“config.json”里面声明，安装后系统自动授予。	是	GET_NETWORK_INFO 、GET_WIFI_INFO
user_grant	在“config.json”里面声明，并在使用时动态申请，用户授权后才可使用。	否，如自定义则强制修改为system_grant。	CAMERA、MICROPHONE

权限限制范围字段说明

权限范围 (availableScope)	说明	自定义权限是否可指定该级别	取值样例
restricted	需要开发者申请对应证书后才能被使用的特殊权限。	否	WRITE_CONTACTS、READ_CONTACTS
signature	权限定义方和使用方的签名一致。需在“config.json”里面声明后，由权限管理模块负责签名校验一致后，可使用。	是	对应用（或Ability）操作的系统接口上由系统定义权限以及应用自定义的权限。如：发现某Ability，连接某Ability。
privileged	预置在系统版本中的特权应用可申请的权限。	是	SET_TIME、MANAGE_USER_STORAGE

访问权限控制

Ability的访问权限控制

在config.json中填写“abilities”的“permissions”字段，即只有拥有该权限的应用可访问此Ability。下面的例子表明只有拥有“ohos.permission.CAMERA”权限的应用可以访问此ability。

"abilities": [
    {
        "name": ".MainAbility",
        "description": "$string:description_main_ability",
        "icon": "$media:hiworld",
        "label": "HiCamera",
        "launchType": "standard",
        "orientation": "portrait",
        "visible": false,
        "permissions": [
            "ohos.permission.CAMERA"
        ],
    }
]

权限保护字段说明

键	值说明	类型	取值范围	默认值	规则约束
permissions	选填，权限名称。用以表示此ability受哪个权限保护，即只有拥有此权限的应用可访问此ability。	字符串数组	自定义	无	目前仅支持填写一个权限名，若填写多个权限名，仅第一个权限名称有效。

Ability接口的访问权限控制

在Ability实现中，如需要对特定接口对调用者做访问控制，可在服务侧的接口实现中，主动通过verifyCallingPermission、verifyCallingOrSelfPermission来检查访问者是否拥有所需要的权限。

if (verifyCallingPermission("ohos.permission.CAMERA") != IBundleManager.PERMISSION_GRANTED) {
    // 调用者无权限，做错误处理
}
    // 调用者权限校验通过，开始提供服务

API接口说明

应用权限接口说明

接口原型	接口详细描述
int verifyPermission(String permissionName, int pid, int uid)	接口功能：查询指定PID、UID的应用是否已被授予某权限输入参数：permissionName：权限名；pid：进程id；uid：uid 输出参数：无返回值: IBundleManager.PERMISSION_DENIED、IBundleManager.PERMISSION_GRANTED
int verifyCallingPermission(String permissionName)	接口功能：查询IPC跨进程调用方的进程是否已被授予某权限输入参数：permissionName：权限名输出参数：无返回值: IBundleManager.PERMISSION_DENIED、IBundleManager.PERMISSION_GRANTED
int verifySelfPermission(String permissionName)	接口功能：查询自身进程是否已被授予某权限输入参数：permissionName：权限名输出参数：无返回值: IBundleManager.PERMISSION_DENIED、IBundleManager.PERMISSION_GRANTED
int verifyCallingOrSelfPermission(String permissionName)	接口功能：当有远端调用检查远端是否有权限，否则检查自身是否拥有权限输入参数：permissionName：权限名输出参数：无返回值: IBundleManager.PERMISSION_DENIED、IBundleManager.PERMISSION_GRANTED
boolean canRequestPermission(String permissionName)	接口功能：向系统权限管理模块查询某权限是否不再弹框授权了输入参数：permissionName：权限名输出参数：无返回值：true允许弹框，false不允许弹框
void requestPermissionsFromUser (String[] permissions, int requestCode)	接口功能：向系统权限管理模块申请权限（接口可支持一次申请多个。若下一步操作涉及到多个敏感权限，可以这么用，其他情况建议不要这么用。因为弹框还是按权限组一个个去弹框，耗时比较长。用到哪个权限就去申请哪个）输入参数： permissions：权限名列表；requestCode: 请求应答会带回此编码以匹配本次申请的权限请求输出参数：无返回值：无
void onRequestPermissionsFromUserResult (int requestCode, String[] permissions, int[] grantResults)	接口功能：调用requestPermissionsFromUser后的应答接口输入参数：requestCode：requestPermission中传入的requestCode；permissions：申请的权限名；grantResults：申请权限的结果输出参数：无返回值：无

动态申请权限开发步骤

在config.json文件中声明所需要的权限。

{
    "module": {
        "reqPermissions": [
            {
                "name": "ohos.permission.CAMERA",
                "reason": "$string:permreason_camera",
                "usedScene": {
                    "ability": ["com.mycamera.Ability", "com.mycamera.AbilityBackground"],
                    "when": "always"}
            }, {
            ...
            }
        ]
    }
}

使用ohos.app.Context.verifySelfPermission接口查询应用是否已被授予该权限。

如果已被授予权限，可以结束权限申请流程。
如果未被授予权限，继续执行下一步。

使用canRequestPermission查询是否可动态申请。

如果不可动态申请，说明已被用户或系统永久禁止授权，可以结束权限申请流程。
如果可动态申请，使用requestPermissionFromUser动态申请权限。

if (verifySelfPermission("ohos.permission.CAMERA") != IBundleManager.PERMISSION_GRANTED) {
    // 应用未被授予权限
    if (canRequestPermission("ohos.permission.CAMERA")) {
        // 是否可以申请弹框授权(首次申请或者用户未选择禁止且不再提示)
        requestPermissionsFromUser(
                new String[] { "ohos.permission.CAMERA" } , MY_PERMISSIONS_REQUEST_CAMERA);
    } else {
        // 显示应用需要权限的理由，提示用户进入设置授权
    }
} else {
    // 权限已被授予
}

通过重写ohos.aafwk.ability.Ability的回调函数onRequestPermissionsFromUserResult接收授予结果。

@Override
public void onRequestPermissionsFromUserResult (int requestCode, String[] permissions, int[] grantResults) {
    switch (requestCode) {
        case MY_PERMISSIONS_REQUEST_CAMERA: {
            // 匹配requestPermissions的requestCode
            if (grantResults.length > 0
                && grantResults[0] == IBundleManager.PERMISSION_GRANTED) {
                // 权限被授予
                // 注意：因时间差导致接口权限检查时有无权限，所以对那些因无权限而抛异常的接口进行异常捕获处理
            } else {
                // 权限被拒绝
            }
            return;
        }
    }
}

应用权限列表

权限分类

HarmonyOS根据接口所涉数据的敏感程度或所涉能力的安全威胁影响，定义了不同开放范围与授权方式的权限来保护数据。

当前权限的开放范围分为：

all：所有应用可用
signature：平台签名应用可用
privileged：预置特权应用可用
restricted：证书可控应用可用

应用在使用对应服务的能力或数据时，需要申请对应权限。

已在config.json文件中声明的非敏感权限，会在应用安装时自动授予，该类权限的授权方式为系统授权（system_grant）。
敏感权限需要应用动态申请，通过运行时发送弹窗的方式请求用户授权，该类权限的授权方式为用户授权（user_grant）。

当应用调用服务时，服务会对应用进行权限检查，如果没有对应权限则无法使用该服务。

敏感权限

学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：
在这里插入图片描述

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

2401_84545468

关注

24
点赞
踩
8

收藏

觉得还不错? 一键收藏
0
评论
2024年网络安全最新鸿蒙HarmonyOS开发实战—安全管理（权限开发）_鸿蒙权限，网络安全性能优化最佳实践

HarmonyOS为了保证应用对外提供的接口不被恶意调用，需要对调用接口的调用者进行鉴权。大多情况下，系统已定义的权限满足了应用的基本需要，若有特殊的访问控制需要，应用可在config.json中以"defPermissions": []属性来定义新的权限，并通过“availableScope”和“grantMode”两个属性分别确定权限的开放范围和授权方式，使得权限定义更加灵活且易于理解。
复制链接

扫一扫