注册登录

码农TT

发布：2019-06-25 17:19
更新：2020-01-14 11:40
阅读：684

【报Bug】html5+ 的api的安全隐患

分类：HTML5+

安全 plus h5+ Webview Debug h5

详细问题描述

plus.storage数据是可以跨域访问的
怎样彻底阻止plus.storage被其它网页访问操作

在打开页面时加入 plusrequire:"none" 对一般的页面确实有效，
但是如果那个页面加入了<script src="html5plus://ready"></script>，数据仍然会被访问到

2019-06-25 17:19 负责人:无分享

1 个回复

DCloud_App_Array

HBuilderX2.5.6+版本Webview窗口样式新增disablePlus属性（Boolean类型）禁止使用5+ API，示例如下：

var webview = plus.webview.create('url', 'id', {  
    disablePlus: true,  
    plusrequire: 'none'  
});

这样设置后webviwe窗口将无法调用任何5+ API，即使页面中加载了框架也无法调用，可解决外部网页恶意调用plus的隐患。

码农TT (作者)

这个问题能不能解决一下https://ask.dcloud.net.cn/question/87616

2020-01-14 11:44

该问题目前已经被锁定, 无法添加新回复