本文探讨了Android WebView中启用JavaScript并注入对象的安全漏洞，通过一个实例展示了如何利用该漏洞执行恶意代码。为了解决这个问题，提出了使用@JavascriptInterface注解和限制注入对象的方法。同时，文章也提醒开发者在处理WebView内容时要格外小心，防止不安全的交互。
最近在做一个项目过程中，发现了一个很严重的安全漏洞，这个漏洞是乌云平台（http://www.wooyun.org）报告出来的。
1，使用场景
我们很多时候要使用WebView来展示一个网页，现在很多应用为了做到服务端可控，很多结果页都是网页的，而不是本地实现，这样做有很多好处，比如界面的改变不需要重新发布新版本，直接在Server端修改就行了。用网页来展示界面，通常情况下都或多或少都与Java代码有交互，比如点击网页上面的一个按钮，我们需要知道这个按钮点击事件，或者我们要调用某个方法，让页面执行某种动作，为了实现这些交互，我们通常都是使用JS来实现，而WebView已经提供了这样的方法，具体用法如下：
订阅专栏 解锁全文
扫一扫
1396
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
