我正在开发一个应用程序,它主要使用原生代码编写,并支持Ice Cream Sandwich。但是,我需要添加一些WebViews。关于WebView的安全性有很多讨论,当我使用setJavaScriptEnabled(true)时,它会给出一个警告:“使用setJavaScriptEnabled可能会在您的应用程序中引入XSS漏洞,请仔细审核。”
我只想非常小心地使用WebView和setJavaScriptEnable(true)。我已经遵循了Android WebView安全提示 和建议。但是,没有最佳实践清单。
到目前为止,我所做的:
- Only load trusted content to WebView. Either from local html or from our back end.
Intercept all requests from WebView by implementing
webView.setWebViewClient(new WebViewClient() { @Override public boolean shouldOverrideUrlLoading(WebView view, String url) { // magic return true; } });
- Make sure all back end requests are using https and only sent to our back end.
- Detect SSL warning.
- Checksum check local html/JavaScript files.
- Minify JavaScript files
- Update Security Provider to Protect Against SSL Exploits
除了针对WebView的保护措施外,还有一些其他的保护措施,比如加密消息和检查越狱等。
我还漏掉了什么吗?我的应用程序有多安全?
谢谢