为Android webview添加名单，增加网页访问安全性

Android 通过webview来实现网页的加载和访问，Webview提供了一个addJavascriptInterface方法，该方法可以把一个Java类注入到当前WebView的实例中，这样利用该Webview实例加载的页面就可以方便地利用Javascript与Java层通信了。
要在双方调用方法交换数据的时候更加安全，只允许特定的网址来访问加载，那就是需要在webview中增加访问白名单，只对特定的对象开放访问和加载。

具体做法

1.在webview.loadUrl 方法调用之前，调用白名单校验方法
2.在webview的shouldOverrideUrlLoading 方法中调用白名单校验方法，以便在网页初次加载后后续网页进行校验

具体代码

//校验白名单方法
 private static boolean checkDomain(String inputUrl)  {
        if (!inputUrl.startsWith("http://")&&!inputUrl.startsWith("https://"))
        {
            return false;
        }
        String[] whiteList=new String[]{"site1.com","site2.com"};
        java.net.URI url= null;
        try {
            url = new java.net.URI(inputUrl);
        } catch (URISyntaxException e) {
            return false;
        }
        String inputDomain=url.getHost(); //提取host
        for (String whiteDomain:whiteList)
        {
            if (inputDomain.endsWith("."+whiteDomain)) //www.site1.com      app.site2.com
                return true;
        }
        return  false;

//页面使用
public class MainActivity extends AppCompatActivity {
    class JsObject {
        @JavascriptInterface
        public String getToken() {
            Log.e("rebeyond","i am in getToken");
            return "{\"token\":\"1234567890abcdefg\"}";
        }
    }
    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
 
        WebView webView = (WebView) findViewById(R.id.myWebview);
        webView.getSettings().setJavaScriptEnabled(true);
        webView.setWebViewClient(new WebViewClient(){
            @Override
            public boolean shouldOverrideUrlLoading(WebView view, WebResourceRequest request) {
                Log.e("rebeyond","start to shouldOverrideUrlLoading url:"+request.getUrl());
                //String inputUrl=request.getUrl().toString();  此种写法存在隐患
                String inputUrl=view.getUrl()
                if (checkDomain(inputUrl))
                {
                    return false; //域名校验通过，允许请求
                }
                return true; //域名校验失败，终止请求
            }
        });
        webView.setWebChromeClient(new WebChromeClient());
        webView.addJavascriptInterface(new JsObject(),"myObj");
 
        String inputUrl="http://www.site1.com/redirect.php?url=https://www.rebeyond.net/poc.htm";
            if (checkDomain(inputUrl))
            {
                Log.e("rebeyond","start to loadUrl:"+inputUrl);
                Log.e("rebeyond","i am a white domain");
                webView.loadUrl(inputUrl);
            }
    }
}

如此，便完成了网页的白名单校验
参考文章：【原创】一文彻底搞懂安卓WebView白名单校验-CSDN博客