FileProvider: exponer un archivo sin exponer tu almacenamiento

Durante los primeros años de Android compartir un fichero consistía en pasar su ruta. Era directo, era barato y era exactamente igual de seguro que dejar la puerta abierta: la ruta revelaba dónde vive tu aplicación, obligaba al receptor a tener permiso general de almacenamiento para poder leerla, no distinguía entre el fichero que querías compartir y sus vecinos del mismo directorio, y no caducaba jamás. El modelo actual sustituye esa ruta por una referencia opaca que no dice nada del sistema de ficheros, que apunta a un único elemento, que solo funciona para quien recibió permiso y que deja de funcionar sola al cabo de un rato. La pieza que fabrica esa referencia es un proveedor de contenidos especializado, y es probablemente el componente cuya configuración se copia y pega más veces sin entenderse, con el resultado previsible de aplicaciones que creen estar compartiendo un fichero y en realidad han abierto su directorio entero.

Por qué la ruta dejó de ser una opción

Desde la API 24, el modo estricto lanza FileUriExposedException en cuanto un intent que contiene un esquema de fichero abandona el proceso. No es una advertencia ni una recomendación: es un fallo duro, y su motivo es que la ruta transfiere un problema al receptor en lugar de resolverlo en el emisor. Quien recibe una ruta necesita permiso de lectura sobre esa zona del almacenamiento, lo que significa que el modelo antiguo empujaba a todas las aplicaciones receptoras a pedir un permiso amplio para poder atender un caso estrecho.

Hay tres defectos más que se suelen olvidar. Una ruta describe la estructura interna de tu aplicación, y esa estructura es información útil para quien quiera atacarla. Una ruta no tiene granularidad: quien puede leer un fichero del directorio puede leer todos. Y una ruta no tiene caducidad, de modo que la aplicación que la recibió hoy puede volver a leerla dentro de seis meses sin que nadie lo autorice de nuevo.

La referencia de contenido corrige los cuatro problemas a la vez. Es opaca, porque el identificador que contiene no guarda relación reconocible con la ruta real. Es concreta, porque apunta a un elemento y no a un directorio. Es autorizada, porque solo el proceso al que se concedió el permiso puede resolverla. Y es temporal, porque el permiso muere con la tarea que lo recibió.

Declarar el proveedor y dibujar el mapa

El proveedor se declara en el manifiesto como cualquier otro componente, pero con una combinación de atributos que a primera vista parece contradictoria: no exportado y a la vez capaz de conceder permisos. La autoridad debe ser única en todo el dispositivo, y por eso se deriva siempre del identificador de aplicación en lugar de escribirse a mano; dos aplicaciones instaladas con la misma autoridad provocan que la segunda instalación falle sin explicación clara.

<provider
    android:name="androidx.core.content.FileProvider"
    android:authorities="${applicationId}.fileprovider"
    android:exported="false"
    android:grantUriPermissions="true">
    <meta-data
        android:name="android.support.FILE_PROVIDER_PATHS"
        android:resource="@xml/rutas_compartidas" />
</provider>

El recurso asociado es el mapa de lo que existe para el exterior. Cada entrada asocia un nombre público con un subdirectorio real, y todo lo que no aparezca en el mapa sencillamente no puede convertirse en referencia. Aquí está el error de configuración más caro del componente: usar una ruta vacía, que equivale a exponer la raíz del directorio correspondiente y por tanto a poner al alcance del exterior las bases de datos, las preferencias y los ficheros internos de la aplicación.

<paths>
    <!-- correcto: un subdirectorio dedicado, nada mas -->
    <cache-path name="compartidos" path="para_compartir/" />
    <files-path name="informes" path="informes/" />

    <!-- peligroso: la ruta vacia expone la raiz entera -->
    <!-- <files-path name="todo" path="." /> -->
</paths>

Las entradas disponibles cubren cada zona de almacenamiento con su propia etiqueta: la memoria interna privada, la caché interna, los directorios privados en el almacenamiento externo y sus cachés, y los directorios públicos de medios. Elegir la zona equivocada es un fallo silencioso en dispositivos concretos, porque un directorio externo puede no estar montado cuando el usuario ha extraído la tarjeta o cuando el perfil activo no es el principal. La caché interna es la elección por defecto para material efímero de compartición, con la ventaja añadida de que el sistema puede reclamarla bajo presión de espacio y la desventaja simétrica de que puede desaparecer antes de que el receptor la lea.

Con el mapa en su sitio, obtener la referencia es una única llamada que traduce un fichero real a su nombre público. La llamada falla con una excepción de argumento ilegal si el fichero está fuera del mapa, lo cual es exactamente el comportamiento deseado: el error aparece en tu proceso, en desarrollo, y no como una filtración silenciosa en producción.

val fichero = File(context.cacheDir, "para_compartir/informe.pdf")
val uri = FileProvider.getUriForFile(
    context,
    "${context.packageName}.fileprovider",
    fichero,
)

La concesión temporal y su ciclo de vida

Que el proveedor no esté exportado significa que nadie puede consultarlo por iniciativa propia. Que tenga activada la concesión de permisos significa que tú puedes autorizar accesos puntuales sobre elementos concretos. Las dos cosas juntas describen el modelo entero: el acceso no se concede al componente, se concede a una referencia, a un proceso y por un tiempo.

La vía habitual es la bandera del intent, que autoriza a quien acabe atendiendo ese intent y solo para la referencia que lleva dentro y los elementos de su clip. La vía explícita hace falta cuando no hay intent de por medio, cuando el destinatario se conoce de antemano o cuando hay que autorizar referencias que no viajan en los campos que la bandera cubre.

// via habitual: la bandera acompana al intent
val intent = Intent(Intent.ACTION_VIEW).apply {
    setDataAndType(uri, "application/pdf")
    addFlags(Intent.FLAG_GRANT_READ_URI_PERMISSION)
}

// via explicita: destinatario conocido, revocacion bajo tu control
context.grantUriPermission(paqueteDestino, uri, Intent.FLAG_GRANT_READ_URI_PERMISSION)
// mas tarde, cuando el contenido deja de ser valido
context.revokeUriPermission(uri, Intent.FLAG_GRANT_READ_URI_PERMISSION)

Hay un tercer escenario que rompe las dos vías anteriores y aparece constantemente: entregar una referencia dentro de un intent pendiente, típicamente en la acción de una notificación. El intent pendiente se construye ahora y se dispara más tarde, posiblemente en otro proceso, y las banderas de concesión hay que ponerlas en el intent envuelto y no en el pendiente. Además, desde la API 31 todo intent pendiente debe declarar explícitamente si es mutable, y un pendiente mutable que contiene una referencia concedida es exactamente el material del que están hechas las escaladas de privilegio.

val ver = Intent(Intent.ACTION_VIEW).apply {
    setDataAndType(uri, "application/pdf")
    addFlags(Intent.FLAG_GRANT_READ_URI_PERMISSION)   // aqui, no en el pendiente
}

val pendiente = PendingIntent.getActivity(
    context, 0, ver,
    PendingIntent.FLAG_UPDATE_CURRENT or PendingIntent.FLAG_IMMUTABLE,
)

La duración es la parte que casi nadie mide. Una concesión otorgada por bandera vive mientras viva la tarea que la recibió, lo que puede ser mucho más de lo que imaginas: si el usuario deja la aplicación receptora abierta en segundo plano, el permiso sigue vigente. Una concesión explícita vive hasta que se revoque o hasta que el dispositivo se reinicie. En ningún caso sobrevive a la desinstalación del emisor, porque desaparece el proveedor que la sostenía.

flowchart TD
A[Fichero en un directorio del mapa] --> B[getUriForFile]
B --> C[Referencia opaca con autoridad propia]
C --> D{Como se autoriza}
D -->|bandera en el intent| E[Permiso para quien atienda el intent]
D -->|concesion explicita| F[Permiso para un paquete concreto]
E --> G[El receptor abre un descriptor de fichero]
F --> G
G --> H{Cuando caduca}
H -->|bandera| I[Al terminar la tarea receptora]
H -->|explicita| J[Al revocar o al reiniciar]