마스터Q&A
마스터Q&A 안드로이드는 안드로이드 개발자들의 질문과 답변을 위한 지식 커뮤니티 사이트입니다. 안드로이드펍에서 운영하고 있습니다. [사용법, 운영진]

addJavascriptInterface 취약점 관련 질문

0 추천
안드로이드 브라우저와 웹뷰에서 코드 실행 시

공격자가 자바스크립트를 사용하여 코드를 실행 할 수 있다는 취약점이 있는걸로 알고 있는데요,

 

그래서 api 17부터는 아예 사용이 안되고 있고 ..

 

반드시 addJavascriptInterface를 사용해야 한다면,

 

적절한 보호조치가 필요할 것 같은데 어떤식의 보호조치를 하는게 위험을 줄일 수 있는지

 

조언좀 부탁드립니다
음무 (17,820 포인트) 님이 2014년 5월 21일 질문

1개의 답변

+1 추천
 
채택된 답변
1. 웹페이지에서 호출하는 메소드에는 android.webkit.JavascriptInterface 를 붙이세요. api 17부터는 이게 붙어있는 메소드만 호출할 수 있습니다.

2. 메소드가 호출되었을 때  WebView의 주소가 올바른 URL인지 검증하세요.
익명사용자 님이 2014년 5월 21일 답변
음무님이 2014년 5월 21일 채택됨
올바른 URL인지 검증하는것을 어떤식으로 진행해야 하나요 ?
인증서로 비교를 해야하는건가요?
음무 (17,820 포인트) 님이 2014년 5월 21일 댓글작성
메소드를 호출하는게 님이 만든 사이트인지 그외의 사이트인지 비교하면 됩니다.
익명사용자 님이 2014년 5월 21일 댓글작성
메소드를 호출하는 사이트의 url 등을 알 수 있는 방법이 있나요 ?
음무 (17,820 포인트) 님이 2014년 5월 21일 댓글작성
 | Operated by 안드로이드펍
...