使用 WebView 的安全风险（IOS、Android）

Question

我是移动编程的初学者，想知道 Web 视图是否不好？。我从我们公司的应用程序团队那里听说启用 Web 视图本身就是一种安全风险（我们处理财务数据 :)）。

我打算将它用于简单的验证码，但我的问题更像是

从安全角度来看，Webview 是一个严格的 NO NO 吗？

请告诉我。

任何帮助表示赞赏。

Answer 1

这取决于您在应用程序中如何使用 WebView。例如，GMail 应用程序使用 WebView 以非常安全的方式查看电子邮件。如果您将任意 3rd-party 内容加载到 WebView 中，则会带来主要风险。浏览器通过在单独的进程中对网页进行沙盒处理来解决这个问题，因此即使页面代码利用渲染引擎的某些安全漏洞并对其进行控制，它仍然无法代表浏览器进行操作。WebView 是单进程的，因此渲染引擎中的任何安全漏洞实际上都会授予恶意代码与您的应用程序相同的权限。

所以基本上，安全使用 WebView 的规则 #1 是只在其中加载受信任的内容。如果您需要显示用户提供的内容，请仅接受纯文本并对其进行清理。尽可能避免启用 JavaScript。以您可以为您的应用程序允许的最新 API 级别为目标——否则 WebView 可能会启用不安全的功能，以便与较旧的应用程序兼容，如果没有这些功能，这些功能将无法运行。