云打包、离线打包安卓APP均可复现
d***@leyifan.com
- 发布：2026-07-21 16:14
- 更新：2026-07-22 01:22
- 阅读：545
产品分类： uniapp/App
PC开发环境操作系统： Windows
PC开发环境操作系统版本号： 最新
HBuilderX类型： 正式
HBuilderX版本号： 5.21
手机系统： Android
手机系统版本号： Android 10
手机厂商： 华为
手机机型： Pixel4XL
页面类型： vue
vue版本： vue3
打包方式： 离线
项目创建方式： HBuilderX
操作步骤：
预期结果：
无
无
实际结果：
无
无
bug描述：
我们是离线打包的，用的最新版离线打包SDK，被福州网安抽检发现这个DirtyStream漏洞
【检测证据】
存在风险共发现[2]个风险[1]:位
于:io.dcloud.feature.gallery.imageedit.IMGEditActivity->publicvoidh()[2]:位于:io.dcloud.net.JsUpload->publicbooleanaddFile(IWebviewarg0,String
arg1,JSONObjectarg2)
【整体结果】
发现问题。安全检测发现应用在处理外部URI、内容流或文件名时存在校验不足的风险点。若外部应用可控制相关输入，可能造成恶意文件覆盖应用私有目录、污染后续处理流程或引发数据完整性风险。
【检测依据】
GB/T42884-2023《信息安全技术移动互联网应用程序（App）生命周期安全管理指南》GB/T39412-2020《信息安全技术代码安全审计规范》OWASPMASVSv2.1
（MASVS-CODE、MASVS-RESILIENCE）及MASTGAndroidDevelopers《Security bestpractices》
麻烦希望官网重视这个问题，修复DirtyStream漏洞，我们是被抽检发现的，估计所有uniapp程序都有这个问题
我们只是把系统的 API 透出来给大家用，用法决定了是否有漏洞，而不是系统的 API 有漏洞。
公安需要校验什么，你应该可以在业务层自行校验。
只是很多检测机构以为应用是 Java 开发的，所以他就检测 Java 代码，以为 Java 代码就是业务，其实你的业务在你的 JS 里。
欢迎到专业群（ uni-app 官方技术交流群 1 ） 咨询，群中有相关专业的管理员和群友。
感谢您的反馈。针对您提交的 DirtyStream 漏洞风险报告，我们非常重视，以下是对您此次 Bug 反馈的评审与分析：
一、 Bug 反馈内容完整性评审
- BUG 描述：描述较为清晰，提供了具体的检测证据（类名及方法名），并说明了检测来源及依据，官方人员能够看懂并定位到具体的风险点。
- 代码示例：未提供。由于该问题属于底层 SDK 被安全平台扫描出的风险点，通常不需要您提供前端代码示例即可定位。但如果需要官方深入排查底层逻辑，可能需要您补充触发该检测的具体业务场景（如是否使用了图片编辑、文件上传等 API）。
- 复现步骤：填写为“云打包、离线打包安卓APP均可复现”。该描述偏向结论，缺乏具体的操作路径。建议补充：在什么页面调用了什么 API（如
uni.chooseImage编辑功能或uni.uploadFile）触发了该检测项，以便官方人员能成功复现。 - 预期结果与实际结果：填写为“无”。该填写不合理，预期结果应描述为“安全检测无 DirtyStream 漏洞风险”，实际结果应描述为“被福州网安抽检发现存在该风险”。
- 分类信息：完整，包含版本信息、运行平台等内容。
二、 Bug 是否成立分析
根据知识库信息，首先需要明确安全检测报告中漏洞代码的类名前缀。您反馈的风险点位于 io.dcloud.feature.gallery.imageedit.IMGEditActivity 和 io.dcloud.net.JsUpload，均以 io.dcloud 开头，属于 DCloud 的代码。
根据官方文档说明，安全平台检测出的漏洞风险并不一定代表真实存在安全漏洞，有些是误报或夸大了隐患。对于此类安全漏洞风险问题，官方的基本处理原则是：
- 优先使用 APK 加固：推荐使用 uni安全加固，目前由蚂蚁小程序云提供支持，可有效提升应用整体安全性，通常能绕过此类静态检测。
- 官方持续跟进修复：对于 DCloud 代码引起的问题，官方会根据风险等级优先解决高风险和中风险问题。您反馈的 DirtyStream 漏洞，官方会进行排查确认，并在后续版本中优化或修复。
建议您先使用安全加固方案处理当前提交检测的 APK 包以应对网安抽检。同时，官方会将此问题记录并转交底层团队评估修复。
内容为 AI 生成，仅供参考
d***@leyifan.com (作者)
了解，那我尝试在业务层做一些限制
2026-07-22 10:18
北枫
回复 d***@leyifan.com: 你怎么做限制啊
2026-07-22 11:57
d***@leyifan.com (作者)
回复 北枫: 目前打算试一下反编译uniapp-v8-release.aar把对应的两个地方加上目录效验，你有其他方案不
2026-07-22 14:09
DCloud_heavensoft
回复 d***@leyifan.com: 如果遇到问题，可以点付费技术支持寻求帮助。不要反编译。业务校验正常应该在js层校验。
2026-07-23 03:01