只在4.2以上调用addJavascriptInterface还是能被检测出来有安全漏洞

zhaozepeng / SafeWebView

修复 4.2 之下 JS 漏洞的 WebView

Apache License 2.0

18 stars 10 forks source link

Open zhuangjiahua opened 5 years ago

zhuangjiahua commented 5 years ago

我在自己的代码中进行判断，只在4.2以上的系统才调用addJavascriptInterface，然后用Testin进行安全扫面，仍能扫出“WebView远程代码执行”漏洞，而且扫出的那行代码正是我加了判断再调用的那行代码，请问是否我这里漏了什么，还是这种方式根本通不过安全扫描？

xsseng commented 5 years ago

人家是静态扫描，正则匹配到你的addJavascriptInterface就算有漏洞，修复即可，不要在意这些

zhuangjiahua commented 5 years ago

好的，谢谢！主要是客户那边扫描我们的应用，不知道这样客户能否接受。