如何找出 Google Auth Webview 的来源？

Question

我收到一封来自 google 的电子邮件We're writing to let you know that we detected the use of an embedded webview in requests to Google's OAuth 2.0 authorization endpoint in the past 120 days associated with one or more of your OAuth client IDs listed in this email.

1. 我们的网站只是一个网络应用程序 (smodin.io)

2. 我们已经使用 google auth 好几个月了，超过了 120 天的期限；根据谷歌的这篇文章，我们应该在几个月前就收到通知（我们也有一个开发环境没有收到相同的电子邮件）。

3. 我过去收到过来自垃圾邮件安全赏金的电子邮件，内容涉及避免 iframe 劫持登录，我不确定它是否相关。我被告知这实际上并不是一个问题。

我怎样才能知道这embedded webview是从哪里来的？（以及它可能来自的任何相关安全问题）

我们的设置：Firebase 身份验证（谷歌和电子邮件/密码登录）和下一个 JS (reactjs)。

PS：这与通过嵌入式 webview 进行的 Google OAuth 2.0 客户端 ID 授权相同，但没有收到足够的答案，因为我认为最初是以一种糟糕的方式提出的。

Answer 1

您可以使用 Google Analytics 来获取一些线索。您可以通过名为“Android Webview”的浏览器进行过滤。

就我而言，我发现主要是来自第三方应用程序的社交流量，例如 Facebook 和 LinkedIn。我仍在尝试寻找解决方案，因为显然我无法控制这些应用程序。