Android 安全：移除不必要的三方依赖权限

出现原因

平时开发过程中避免不了要使用一些三方依赖来实现我们的需求，但是有时三方申请的权限，我们并没有使用到，但是打包过程中又会合并到AndroidManifest.xml文件中，这就造成了权限滥用的风险。

风险描述

权限是一种安全机制，主要用于限制应用程序内部某些具有限制性特性的功能使用以及应用程序之间的组件访问。Android通过在AndroidManifest.xml中增加权限来控制限制性功能的使用和组件访问。权限滥用是指应用权限开放过多、自定义权限限制不严格，导致攻击者利用应用权限可以使用某些特殊的功能，如拨打电话、访问摄像头、利用麦克风录音、编写并植入木马等。可能导致隐私数据泄露，钓鱼扣费等风险。

查看apk中权限

使用aapt工具
命令：aapt dump badging xxx.apk

结果如下：

移除权限

在app下AndroidManifest.xml中使用 tools:node="remove"，在打包时移除权限.

    <uses-permission
        android:name="android.permission.VIBRATE"
        tools:node="remove" />

移除后，查看新包中权限，结果如下：

发现在新的apk中，没有了"android.permission.VIBRATE"权限。