Android Tapjacking

简介

Android Tapjacking为Android的一个安全问题。其描述就是当其他的window在 app上方时，app仍然可以获取焦点和响应点击事件。

风险

当类似悬浮框的window在你的app上方时，这个window是全屏透明的，当你输入你的app密码时，这个透明的window可以记录你点击屏幕的位置，进而推断出你的密码；

防护

1. 可以在最外层布局加上 android:filterTouchesWhenObscured="true"
   或者在你的activity中设置
   findViewById<View>(android.R.id.content).rootView.filterTouchesWhenObscured = false
   这种方式能防止背上方window覆盖的地方响应点击事件，如果想要对未覆盖的区域也拒绝响应，那就需要做进一步处理。
2. 在View中重写onFilterTouchEventForSecurity 方法。

@Override
    public boolean onFilterTouchEventForSecurity(MotionEvent event) {
        if (((event.getFlags() & MotionEvent.FLAG_WINDOW_IS_OBSCURED) == MotionEvent.FLAG_WINDOW_IS_OBSCURED)
                || (event.getFlags() & MotionEvent.FLAG_WINDOW_IS_PARTIALLY_OBSCURED) == MotionEvent.FLAG_WINDOW_IS_PARTIALLY_OBSCURED){
            return false;
        }
        return super.onFilterTouchEventForSecurity(event);
    }

待补充

研究 云闪付和邮储银行发现这两个app会自动处于window最上层，所有悬浮框都会被覆盖掉，这个也是解决Android Tapjacking的方案。但是还未找到这样做的方案