【报Bug】使用3.6.4版本hbuilderx 云打包,安全扫描报:WebView File域同源策略绕过漏洞

2.2 检测项情况汇总
序号 检测项目 风险等级 检测结果
组件风险（1项）
1 WebView File域同源策略绕过风险检测 高 存在风险
3 检测结果分析
3.1 高危检测项
3.1.1 WebView File域同源策略绕过风险检测
检测目的 检测应用是否存在WebView File域同源策略绕过漏洞。
风险等级 高
威胁描述 应用程序一旦使用WebView，同时支持File域，并打开了对JavaScript的支持，就能利用JavaScript的延时执行，绕过File协议的同源检查，并能够访问应用程序的私有文件，导致敏感信息泄露。
检测结果 存在风险
结果描述 该应用存在WebView File域同源策略绕过漏洞。检测文件总数11906个，检测出79处风险。
出现次数 79次
检测详情 总共检测文件 11906 个，存在风险点 79 个。
1．使用静态检测引擎对APK进行反编译。
2．扫描反编译后的代码文件，提取WebView相关内容。
3．对提取的WebView代码进行检测，发现没有禁用File协议或者没有禁止File协议调用JavaScript。
第1处：
文件：
com.amap.api.location.AMapLocationClient.java
第2处：
文件：
io.dcloud.share.ShareAuthorizeView.java
第3处：
文件：
io.dcloud.sdk.activity.WebViewActivity.java
第4处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$7.java
第5处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$2.java
第6处：
文件：
com.tencent.smtt.sdk.SystemWebChromeClient$4.java
第7处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent.java
第8处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView$3.java
第9处：
文件：
com.cl.h5view.CLwebview.java
第10处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$2.java
第11处：
文件：
io.dcloud.feature.gg.dcloud.ADWebView$1$1.java
第12处：
文件：
com.tencent.smtt.sdk.SystemWebChromeClient$5.java
第13处：
文件：
com.tencent.smtt.sdk.WebView$5.java
第14处：
文件：
com.cl.h5view.CLwebview$3$1.java
第15处：
文件：
com.huawei.secure.android.common.webview.SafeWebView$d.java
第16处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$7.java
第17处：
文件：
io.dcloud.sdk.base.dcloud.d$a.java
第18处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$6.java
第19处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView$2.java
第20处：
文件：
com.huawei.secure.android.common.webview.SafeGetUrl.java
第21处：
文件：
com.tencent.smtt.sdk.SystemWebViewClient$3.java
第22处：
文件：
com.huawei.secure.android.common.webview.SafeWebView.java
第23处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$9.java
第24处：
文件：
io.dcloud.WebviewActivity$c.java
第25处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$3.java
第26处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView.java
第27处：
文件：
com.cl.h5view.CLwebview$2.java
第28处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$3.java
第29处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$10.java
第30处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$6.java
第31处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent.java
第32处：
文件：
io.dcloud.sdk.activity.WebViewActivity$c.java
第33处：
文件：
io.dcloud.sdk.base.dcloud.d$a$a.java
第34处：
文件：
io.dcloud.common.DHInterface.IWebview.java
第35处：
文件：
io.dcloud.common.adapter.ui.AdaUniWebView.java
第36处：
文件：
com.loc.d.java
第37处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$8.java
第38处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$1.java
第39处：
文件：
io.dcloud.feature.gg.dcloud.ADWebView.java
第40处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView$1.java
第41处：
文件：
com.tencent.smtt.sdk.SystemWebChromeClient.java
第42处：
文件：
com.tencent.smtt.sdk.WebView$a.java
第43处：
文件：
io.dcloud.WebviewActivity$a.java
第44处：
文件：
com.tencent.smtt.sdk.SystemWebViewClient$1.java
第45处：
文件：
com.tencent.smtt.sdk.SystemWebViewClient.java
第46处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView$DCWXChromeClient$2.java
第47处：
文件：
com.huawei.secure.android.common.webview.SafeWebSettings.java
第48处：
文件：
io.dcloud.sdk.activity.WebViewActivity$b.java
第49处：
文件：
io.dcloud.common.adapter.ui.webview.SysWebView.java
第50处：
文件：
com.tencent.smtt.sdk.WebView.java
第51处：
文件：
com.taobao.weex.ui.view.WXWebView$2.java
第52处：
文件：
io.dcloud.sdk.base.dcloud.d.java
第53处：
文件：
io.dcloud.WebviewActivity$b$b.java
第54处：
文件：
io.dcloud.common.DHInterface.IDCloudWebviewClientListener.java
第55处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$5.java
第56处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$4.java
第57处：
文件：
io.dcloud.WebviewActivity.java
第58处：
文件：
io.dcloud.feature.gg.dcloud.ADWebView$1.java
第59处：
文件：
com.taobao.weex.ui.view.WXWebView$1.java
第60处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView$DCWXChromeClient.java
第61处：
文件：
com.loc.i.java
第62处：
文件：
com.tencent.smtt.sdk.SystemWebChromeClient$2.java
第63处：
文件：
com.cl.h5view.CLwebview$3.java
第64处：
文件：
com.tencent.bugly.crashreport.CrashReport.java
第65处：
文件：
io.dcloud.sdk.activity.WebViewActivity$c$a.java
第66处：
文件：
com.taobao.weex.ui.view.WXWebView.java
第67处：
文件：
io.dcloud.common.adapter.ui.AdaWebview.java
第68处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView$DCWXChromeClient$3.java
第69处：
文件：
com.tencent.bugly.crashreport.CrashReport$1.java
第70处：
文件：
com.tencent.smtt.sdk.SystemWebViewClient$2.java
第71处：
文件：
io.dcloud.WebviewActivity$b$a.java
第72处：
文件：
io.dcloud.WebviewActivity$b.java
第73处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$4.java
第74处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$5.java
第75处：
文件：
io.dcloud.common.adapter.ui.webview.WebLoadEvent$8.java
第76处：
文件：
io.dcloud.feature.gg.dcloud.ADWebView$1$2.java
第77处：
文件：
io.dcloud.feature.weex.adapter.webview.DCWXWebView$2$1.java
第78处：
文件：
com.taobao.weex.ui.view.WXWebView$3.java
第79处：
文件：
io.dcloud.common.adapter.ui.webview.WebJsEvent$1.java
解决方案 1.对于不需要使用File协议的应用，禁用File协议，显式设置webView.getSettings().setAllowFileAccess(false)。
2.对于需要使用File协议的应用，禁止File协议调用JavaScript，显式设置webView.getSettings().setJavaScriptEnabled(false)。