第2章 Gradle安全配置核心策略

2.1 安全原理概述

Gradle构建中常用的gradle.properties文件、插件声明和系统属性注入，分别对应三种典型安全威胁：敏感信息泄露、插件被篡改或执行恶意代码、系统属性被注入非法值。本章逐一分析其原理，并提供可落地的防护配置与实现流程。

2.2 gradle.properties敏感信息保护

2.2.1 风险点

gradle.properties默认明文存储、数据库密码、签名证书密码等。若被提交到版本库或泄露到日志，后果严重。常见泄露场景：

• 忘记在.gitignore中添加gradle.properties；
• 构建日志打印了属性值；
• CI运行机上的文件权限设置不当。

2.2.2 保护方案

2.2.3 实现流程与代码示例

步骤1：创建gradle.properties文件（注意不要提交到版本库）。

# gradle.properties (本地)
=my-super-secret-key
DATABASE_PASSWORD=pass123
SIGNING_STORE_PASSWORD=storepwd

步骤2：在build.gradle中安全读取。

def  = project.findProperty('') ?: System.getenv('')
if ( == null) {
    throw new GradleException(' not set')
}
android {
    defaultConfig {
        buildConfigField "String", "", "\"${}\""
    }
}

步骤3：创建模板文件并加入.gitignore。

# .gitignore
gradle.properties
# 保留模板
!gradle.properties.example

2.3 安全插件加载顺序

2.3.1 原理与风险

Gradle插件通过classloader加载，如果插件版本来自不可信仓库或顺序不当，可能被替换为恶意版本。例如，在dependencies块中先声明未锁定版本的第三方插件，后声明官方插件，可能被依赖解析规则覆盖。

2.3.2 安全加载策略

• 固定插件版本：在settings.gradle中使用pluginManagement块锁定版本。
• 限制仓库来源：只信任mavenCentral()、google()，避免添加不安全的maven仓库。
• 验证checksum：对核心插件使用Gradle Module Metadata或自定义校验。

2.3.3 实现代码

在settings.gradle中统一管理插件版本：

pluginManagement {
    repositories {
        google()
        mavenCentral()
        gradlePluginPortal()
    }
    resolutionStrategy {
        eachPlugin {
            if (requested.id.id == "com.android.application") {
                useVersion("8.2.0")
            }
        }
    }
}
rootProject.name = "MyApp"

在顶层build.gradle中声明插件时不再指定版本：

plugins {
    id 'com.android.application' apply false
}

2.4 系统属性注入风险

2.4.1 风险场景

通过命令行-D传入的系统属性可被构建脚本、插件或自定义Task读取。攻击者可注入恶意参数（如修改路径、关闭签名校验、执行任意命令等）。

2.4.2 防御策略

2.4.3 安全检查实现

// 在build.gradle中做白名单验证
def allowedSystemProps = ['buildMode', 'versionCode', 'skipTests']
System.properties.each { key, value ->
    if (!allowedSystemProps.contains(key)) {
        throw new GradleException("System property '${key}' is not allowed. Permitted: ${allowedSystemProps}")
    }
    // 额外类型检查
    if (key == 'versionCode' && !(value instanceof String && value ==~ /\d+/)) {
        throw new GradleException("versionCode must be a numeric string")
    }
}

2.5 安全策略整体架构

下图展示了gradle.properties保护、插件安全加载、系统属性风险控制三者如何协同构成Gradle安全防护层。