其他
提升 WebView 用户体验的关键：Android WebChromeClient 解析
https://juejin.cn/post/7438070790573375522
权限管理相关：包括处理地理位置和其他权限请求的回调，确保用户体验流畅。 JavaScript 交互相关：处理 JavaScript 弹窗的回调，允许开发者自定义弹窗样式和行为。 窗口和视图管理相关：管理新窗口的创建和自定义视图的显示，确保用户能够方便地在多个窗口之间切换。 页面和加载状态相关：监控页面加载进度和状态，提供用户反馈。 文件选择相关：处理文件选择器的调用，确保良好的用户体验。 调试和历史记录相关：记录调试信息和获取用户访问历史，注意保护用户隐私。 数据库相关：管理 Web 应用程序的数据库配额，避免不必要的存储。
开发者需要特别关注防止跨站脚本攻击（XSS）和数据泄露等安全问题。XSS 攻击通常发生在恶意用户通过注入恶意脚本来操控网页内容或窃取用户信息。为了防止 XSS 攻击，开发者应确保对所有用户输入进行严格的验证和过滤，尤其是在处理 JavaScript 弹窗（如 onJsAlert、onJsConfirm 和 onJsPrompt）时，避免直接将用户输入插入到 HTML 中。 使用 Content Security Policy（CSP）可以有效限制网页中可执行的脚本来源，从而降低 XSS 攻击的风险。 开发者还需关注数据泄露问题，尤其是在处理用户的敏感信息（如地理位置、文件选择等）时。应确保在请求权限时，向用户明确说明数据使用的目的，并在不再需要时及时撤销权限。 使用 HTTPS 加密协议可以保护数据在传输过程中的安全，防止中间人攻击。对于存储在本地的敏感数据，开发者应考虑使用加密技术进行保护，确保即使数据被窃取也无法被轻易解读。
import android.webkit.WebChromeClient;
import android.webkit.WebView;
import android.webkit.JsPromptResult;
public class MyWebChromeClient extends WebChromeClient {
@Override
public boolean onJsPrompt(WebView view, String url, String message, String defaultValue, JsPromptResult result) {
// 这里对用户输入进行验证和过滤
String sanitizedInput = sanitizeInput(defaultValue);
// 处理用户输入
if (sanitizedInput != null) {
// 进行后续处理
result.confirm(sanitizedInput);
} else {
// 输入不合法，拒绝处理
result.cancel();
}
return true;
}
// 输入过滤和验证方法
private String sanitizeInput(String input) {
// 这里可以添加更复杂的过滤逻辑
if (input != null && !input.contains("<") && !input.contains(">")) {
return input; // 返回安全的输入
}
return null; // 返回 null 表示输入不合法
}
}
!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>安全示例</title>
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self';">
</head>
<body>
<h1>安全性示例</h1>
<script>
// 这里的脚本只能从同源加载，防止外部脚本的执行
console.log("Hello, secure world!");
</script>
</body>
</html>