MASTG-TEST-0031: 测试 WebView 中的 JavaScript 执行

此测试即将更新

此测试目前可使用，但将作为新的 OWASP MASTG v2 指南的一部分进行全面修订。

概述¶

要测试 WebView 中的 JavaScript 执行，请检查应用程序的 WebView 使用情况，并评估每个 WebView 是否应允许 JavaScript 执行。如果应用程序正常运行需要 JavaScript 执行，则需要确保应用程序遵循所有最佳实践。

要创建和使用 WebView，应用程序必须创建 WebView 类的实例。

WebView webview = new WebView(this);
setContentView(webview);
webview.loadUrl("https://www.owasp.org/");

各种设置都可以应用于 WebView（激活/停用 JavaScript 就是一个例子）。默认情况下，WebView 的 JavaScript 处于禁用状态，必须显式启用。查找方法 setJavaScriptEnabled 以检查 JavaScript 是否激活。

webview.getSettings().setJavaScriptEnabled(true);

这允许 WebView 解释 JavaScript。只有在必要时才应启用它，以减少应用程序的攻击面。如果 JavaScript 是必需的，则应确保

要删除所有 JavaScript 源代码和本地存储的数据，请在应用程序关闭时使用 clearCache 清除 WebView 的缓存。

运行 Android 4.4（API 级别 19）之前版本的设备使用具有多个安全问题的 WebKit 版本。作为一种解决方法，如果应用程序在这些设备上运行，则应用程序必须确认 WebView 对象仅显示受信任的内容。

动态分析取决于操作条件。有几种方法可以将 JavaScript 注入到应用程序的 WebView 中

为了解决这些攻击媒介，请检查以下内容