WebView安全：JavaScript接口漏洞、远程代码执行、文件访问风险、安全配置最佳实践

大家好，我是你们的老朋友。今天我们来聊聊Android开发中一个绕不开的话题——WebView安全。说实话，我见过太多应用因为WebView配置不当而翻车了。我自己也踩过坑，所以今天把这些经验分享给你。

WebView说白了就是一个内置浏览器。它让原生App能加载网页，实现混合开发。但问题来了——它把Android的本地能力和Web技术混在一起，这中间的安全边界一旦没守好，漏洞就来了。

1. JavaScript接口漏洞：addJavascriptInterface的暗坑

这个接口是Android WebView最危险的功能之一。它允许你把Java对象暴露给JavaScript调用。听起来很方便对吧？但方便的背后是巨大的风险。

我记得在2012年左右，这个漏洞被大规模利用。攻击者通过反射机制，直接调用被暴露对象的方法，甚至能拿到Runtime执行系统命令。嗯，那时候我正好在做一个金融类App，差点中招。

问题出在哪？

• JavaScript可以调用Java对象的任何公共方法
• 如果对象里有危险方法（比如执行shell命令），那就完了
• 即使没有危险方法，攻击者也能通过反射获取更多能力

安全做法

// 不安全的做法
webView.addJavascriptInterface(new Object() {
    public void executeCommand(String cmd) {
        // 危险！任何网页都能调用这个方法
        Runtime.getRuntime().exec(cmd);
    }
}, "bridge");

// 安全的做法
@JavascriptInterface
public void safeMethod(String param) {
    // 只暴露必要的方法
    // 对参数做严格校验
    if (isValidInput(param)) {
        // 执行安全操作
    }
}

2. 远程代码执行：WebView的「后门」

远程代码执行（RCE）是WebView最致命的漏洞。攻击者通过精心构造的网页，能在你的App进程里执行任意代码。说白了，你的手机就变成人家的了。

为什么会这样？因为WebView默认开启了JavaScript执行能力。如果同时开启了文件访问、addJavascriptInterface等功能，攻击者就能组合利用这些能力。

常见攻击路径

1. 诱导用户打开恶意网页
2. 网页中的JavaScript通过addJavascriptInterface获取本地能力
3. 利用反射调用Runtime.exec()执行系统命令
4. 下载恶意APK、窃取数据、控制设备

防护措施

// 关闭JavaScript（如果不需要）
webView.getSettings().setJavaScriptEnabled(false);

// 如果需要JavaScript，关闭危险功能
webView.getSettings().setAllowFileAccess(false);
webView.getSettings().setAllowContentAccess(false);
webView.getSettings().setAllowFileAccessFromFileURLs(false);
webView.getSettings().setAllowUniversalAccessFromFileURLs(false);

3. 文件访问风险：别让网页随便翻你的文件

WebView默认可以访问本地文件。这意味着网页里的JavaScript能读取你的私有文件、SharedPreferences、数据库等。你想想看，如果用户登录信息存在本地，被恶意网页读走了，后果不堪设想。

文件访问的三种模式

模式	说明	风险等级
file:// 协议	直接访问本地文件系统	高
content:// 协议	通过ContentProvider访问	中
asset:// 协议	访问assets目录	低

安全配置

// 关闭所有文件访问
webView.getSettings().setAllowFileAccess(false);
webView.getSettings().setAllowContentAccess(false);

// 如果必须加载本地文件，使用asset://协议
webView.loadUrl("file:///android_asset/index.html");

4. 安全配置最佳实践：我的「安全清单」

好了，前面说了这么多问题，现在给你一套完整的解决方案。这是我多年积累下来的「安全清单」，每次写WebView相关代码我都会过一遍。

核心配置模板

public class SafeWebViewConfig {
    
    public static void configure(WebView webView) {
        WebSettings settings = webView.getSettings();
        
        // 1. JavaScript控制
        settings.setJavaScriptEnabled(false); // 按需开启
        settings.setJavaScriptCanOpenWindowsAutomatically(false);
        
        // 2. 文件访问控制
        settings.setAllowFileAccess(false);
        settings.setAllowContentAccess(false);
        settings.setAllowFileAccessFromFileURLs(false);
        settings.setAllowUniversalAccessFromFileURLs(false);
        
        // 3. 安全协议
        settings.setMixedContentMode(WebSettings.MIXED_CONTENT_NEVER_ALLOW);
        
        // 4. 缓存控制
        settings.setCacheMode(WebSettings.LOAD_NO_CACHE);
        
        // 5. 移除危险接口
        webView.removeJavascriptInterface("searchBoxJavaBridge_");
        webView.removeJavascriptInterface("accessibility");
        webView.removeJavascriptInterface("accessibilityTraversal");
        
        // 6. 自定义WebViewClient
        webView.setWebViewClient(new SafeWebViewClient());
    }
    
    private static class SafeWebViewClient extends WebViewClient {
        @Override
        public boolean shouldOverrideUrlLoading(WebView view, String url) {
            // 拦截file://和content://协议
            if (url.startsWith("file://") || url.startsWith("content://")) {
                return true;
            }
            return false;
        }
    }
}

安全配置决策树

下面这张图是我自己画的，帮你快速判断该用哪些配置：

我的「避坑指南」

• 我曾经在项目里直接用了WebView的默认配置，结果上线后用户反馈说某些页面加载异常。一查才发现，默认配置允许了混合内容（HTTPS页面加载HTTP资源），被系统拦截了。从那以后，我每次都显式配置所有选项。
• 我曾经遇到过一个第三方广告SDK，它在WebView里注入了自己的JavaScript接口。虽然它说只用于统计，但我还是建议你检查所有第三方SDK的WebView使用情况。
• 我个人习惯在WebView的onPageStarted回调里检查URL，如果发现可疑的协议或域名，直接终止加载。

总结

WebView安全说白了就是三件事：控制JavaScript能力、限制文件访问、管理接口暴露。你只要把这三点做好了，大部分漏洞就堵住了。

嗯，最后再啰嗦一句：安全不是一次性的配置，而是持续的过程。每次升级WebView版本、每次引入新的第三方SDK，都要重新审视这些配置。别嫌麻烦，安全这事儿，马虎不得。

---

公众号:蓝海资料掘金营，微信deep3321