【Android】WebView安全漏洞问题

参考：
https://blog.csdn.net/carson_ho/article/details/64904635
https://blog.csdn.net/qq_42014702/article/details/100899046
https://blog.csdn.net/feather_wch/article/details/82292061

webview常见的坑

1. （任意命令执行漏洞）

API <= 16时，WebView.addJavascriptInterface()有安全漏洞。
Android API level 16 以及之前的版本存在远程代码执行安全漏洞。原因：程序没有正确限制使用WebView.addJavascriptInterface方法。这样，远程攻击者可通过使用Java Reflection API利用该漏洞执行任意Java对象的方法。

2. webview在布局文件中的使用

webview写在其他容器中时。终止时要先将WebView从容器中remove掉，再去执行WebView.removeAllViews()和WebView.destory()方法，才能真正销毁整个webview，防止内存泄漏。

3. jsbridge

让js和android相互调用。
让我们可以本地native端可以调用webjs的代码,同时也可以让远端web调用我们客户端native的代码。

4. webViewClient.onPageFinished()–>WebChromeClient.onProgressChanged()

1. webview跳转各种url时，不断回调这个方法。
2. 建议使用WebChromeClient.onProgressChanged()方法比较好

5. 后台耗电

没有将webview很好地销毁的话，会残留运行，导致后台耗电
WebView用于独立线程：会涉及到IPC。但是简单粗暴，直接kill进程，能有效避免泄露。
对传入WebView的Context使用弱引用，使用结束时，将WebView从父容器中remove后在进行清理工作。

6. WebView硬件加速导致页面渲染问题

开启硬件加速会让加载更顺滑
容易出现页面加载闪烁的问题。
解决办法：暂时关闭WebView的硬件加速。

webview造成的内存泄漏的问题

先来说一下为什么会出现内存泄漏问题?

根本原因就是，我们WebView首先要关联一个Activity，而webView内部执行的操作是在新的线程当中,它时间我们Activity是没有办法确定的,Activity生命周期和新线程的生命周期它是不一样的,所以说导致了webView它会一直持有Activity的引用,不能回收,原理是和我们匿名内部类持有外部类的引用,导致外部类无法回收是一样的,为了避免内存泄漏,我们有两个做法:

1.独立进程,简单粗暴,不过可能涉及到进程间通信
独立进程:就是单独开启一个进程给webView进行操作

2.动态添加WebView,对传入WebView中使用Context使用弱引用,动态添加WebView意思在布局创建个ViewGroup用来放置WebView,Activity创建时add进来,在Activity停止时remove掉