Access Control: Android Provider

如果没有适当的 access control，执行一个包含用户控制主键的 SQLite 指令会允许攻击者访问未经授权的记录。

在以下情况下，SQLite 查询会发生 access control 错误：

1. 数据从一个不可信赖的数据源进入程序。


2. 这个数据用来指定 SQLite 查询中主键的值。
示例 1：以下代码使用一个参数化语句，该语句可转义元字符和防止 query string injection 漏洞，以构造并执行一个 SQLite 查询，来搜索与用户指定的标识符相匹配的清单。

  ...
  id = this.getIntent().getExtras().getInt("id");
  cursor = db.query(Uri.parse(invoices), columns, "id = ? ", {id}, null, null, null);
  ...
  

问题在于开发者没有考虑到所有可能出现的 id 值。虽然查询生成了一个当前用户的标识符清单，但是攻击者可以绕过这一行为，从而获取所需的任意清单。因为此例中的代码没有确保用户有权访问需要的清单，所以代码会显示所有清单，即使这些清单并不属于当前用户。