关于addJavascriptInterface方法

版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/caiqiiqi/article/details/82907305

WebView的RCE问题

参考：
https://developer.android.com/reference/android/os/Build.VERSION_CODES#JELLY_BEAN
这里的最后一行的意思是：
对于targetSdkVersion为Android 4.2（API 17）及以上的app，在应用中想要使用js调用某方法，那么这个方法必须使用@JavascriptInterface进行注解。
参考：
https://developer.android.com/reference/android/webkit/WebView#addJavascriptInterface(java.lang.Object, java.lang.String)

这个方法

public void addJavascriptInterface (Object object, 
                String name)

从API Level 1就存在了

然后看下面那段红框里的：对于targetSdkVersion为API Level 17及以上的，只有标有@JavascriptInterface注解的public方法才能从js调用。而对于targetSdkVersion为API Level 16及以下的app，js可以调用Java所有的public方法。

参考：
https://developer.android.com/reference/android/webkit/JavascriptInterface

再看这一段：

这个功能可以让js控制整个应用。可以说相当强大，然而这也给targetSdkVersion <= 16的app带来了安全问题。即便给app的targetSdkVersion声明为17及以上，但如果最终这个app运行在Android 4.2（API 17）以下，仍然存在安全问题。最安全的方式是：将app的targetSdkVersion声明为17及以上，然后确保只在运行在Android 4.2（API 17）的系统上调用这个addJavascriptInterface()方法。