安全编码技术：聊聊点击劫持 (Tapjacking)

“点击劫持”（Tapjacking）顾名思义，就是“点击”与“劫持”的结合。这是一种攻击手段，攻击者会劫持用户的点击操作，诱导用户执行非本意的操作。那么，它是如何运作的？我们又该如何防范呢？

我们先从屏幕覆盖层说起。屏幕覆盖层，即 Google 所称的类型为 TYPE_APPLICATION_OVERLAY 的窗口。 这些窗口会绘制在其他应用之上，通常只会遮挡屏幕的一部分。当应用请求新权限时，经常会用到这种方式（如下图所示）。

这其实是一项很酷且有趣的功能，越来越多的应用开始使用它，比如 Facebook 的聊天气泡，或者屏幕角落里的 Google 地图导航，如下面的截图所示。

然而，这些覆盖层也存在一些安全风险。任何活动的屏幕覆盖层都可以监听点击操作，否则 Facebook 怎么知道我们点击或拖动了气泡呢？这使得应用能够监视您，并可能窃取密码和信用卡数据。

更进一步，这就是“点击劫持”一词的由来：覆盖层可以在其他应用之上绘制内容，诱导用户执行不同的操作。用户以为自己在与覆盖层交互，但实际上，他们的点击操作也在底层应用中执行了动作。通过这种方式，覆盖层可以诱导您启用某些权限或更改危险设置，正如这个 旧版 YouTube 视频所演示的那样。

上述演示视频于 2010 年上传至 YouTube，因此是在较旧版本的 Android 上完成的。但这种攻击在今天仍然具有现实意义，因为 漏洞 的曝光表明，在 Nougat 和 Marshmallow 等较新版本的 Android 系统中，点击劫持依然可能发生。

那么您能做些什么呢？作为用户，了解这些覆盖层的后果并警惕使用它们的应用非常重要。从 API 23 级别（Android 6.0 Marshmallow）开始，这已成为一项 必须由用户明确授予 的权限。然而，这仍然意味着 50% 的 Android 用户处于易受攻击的状态。您仍然可以在设置中的“在其他应用上层显示”选项下查看哪些应用使用了此权限。

作为开发者，我们有责任确保用户的操作是在其完全知情并同意的情况下完成的。Android 为视图提供了一个专门的设置，名为 filterTouchesWhenObscured。 启用后，当视图窗口被其他可见窗口遮挡时，框架将丢弃接收到的触摸事件。就是这么简单，将 filterTouchesWhenObscured 设置为 true，您的应用就能免受点击劫持的威胁。

祝您好运，下周见！

有时，应用程序必须能够验证某项操作是在用户完全知情并同意的情况下执行的，例如授予权限请求、进行购买或点击广告。不幸的是，恶意应用程序可能会通过隐藏视图的真实意图，诱骗用户在不知情的情况下执行这些操作。

https://developer.android.com/reference/android/view/View.html