webview - Google Play 商店安全警报 : "Your app(s) are using a WebView that is vulnerable to cross-app scripting"

Question

我有一个混合应用程序 - 一个简单的 webview 打开网站(单页角网站)。

我从 Google 商店收到了这条安全消息:

您的应用包含一个容易受到跨应用脚本攻击的 WebView。有关详细信息，请参阅此 Google 帮助中心文章。
弱势群体:
WebActivity->setWebView
跨应用脚本
您的应用正在使用易受跨应用脚本攻击的 WebView。要解决此问题，请按照此 Google 帮助中心文章 (https://support.google.com/faqs/answer/9084685) 中的步骤操作。

我试过“你可以为 list 中的事件设置 android:exported=false。” - 这会阻止整个应用程序启动。当我打开应用程序时，它不执行任何操作并显示“找不到应用程序”消息。

我有 <meta-data android:name="android.webkit.WebView.EnableSafeBrowsing" android:value="true" />在 Manifest 中声明。也有 MinSdkVersion=19。

有什么帮助吗？

谢谢

Answer 1

很难说没有有关您的应用程序的详细信息，但是您的 WebView 事件似乎是必需的(它是主要事件吗？)，您需要选择选项 2。

正如文章中所指出的，增加 targetSdk 版本，检查从 JavaScript 评估的任何输入，并禁用从 WebView 访问文件。

顺便说一句，SafeBrowsing 会标记网络钓鱼和恶意软件网站，它与跨应用脚本漏洞没有直接关系。