ios - PhoneGap 安全吗？

Question

phonegap 针对攻击者的加固程度如何？特别是我们自己页面中的 XSS 缺陷，其中 PhoneGap API 暴露给未知攻击者。

例如，PhoneGap.exec() 命令在 iPhone 上安全吗？

在 JavaScript 中，PhoneGap.exec 命令让我担心，例如PhoneGap.exec(successCB, errorCB, "com.phonegap.contacts","search", [{"fields":fields, "findOptions":options}]); (已复制 iPhone 目标的 JavaScript from here)。理论上，exec 命令应该受到限制，并且应该仅能够访问 PhoneGap API 类(本例中为 com.phonegap.contacts)和方法(例如本例中的搜索)。

如果我们的应用程序中存在 XSS 漏洞，那么与仅在浏览器沙箱中运行相比，任何攻击者的攻击面都会扩大。最终用户的手机容易受到 PhoneGap 中任何漏洞的影响，这些漏洞可能允许攻击者访问特权 ObjectiveC 代码/API。我能找到的关于 PhoneGap 安全性的唯一文档 was this .

Answer 1

您可以通过修改 PhoneGap.plist/Plugins 并删除任何不需要的来控制 API 访问。

PhoneGap 1.1(即将推出) - 有一个白名单功能(在 PhoneGap.plist/ExternalHosts 中)，只有某些外部 URL 可以连接到 - 无论是 JavaScript 还是 Objective-C。