WebView跨源攻击分析
这篇讲的是WebView安全中一个核心但常被忽视的问题：同源策略在本地文件场景下的边界。 作者龚广从浏览器同源策略的基本原理讲起，用一个清晰的对比表格说明了协议、域名、端口三要素如何共同决定URL的同源性，比如“http://www.360.cn:8088”因端口不同就与基准URL非同源。文章的核心深入到了file协议这个特殊领域：当JavaScript通过http页面加载时，file协议通常被视为非同源以阻止读取本地文件；但当JS本身通过file协议加载时，不同浏览器的处理策略则存在显著差异，这为攻击留下了可能的缝隙。 具体到Android WebView，文章通过示例代码展示了四个关键API设置——从是否允许加载file URL，到是否允许file URL中的JS进行跨域访问。这些配置如同一组开关，开错一个就可能让应用暴露在风险中。文章没有停留在理论，而是将同源策略的复杂边界与移动开发的具体实践结合，揭示了WebView安全配置中那些看似细微、却至关重要的决策点。