为Android webview添加名单，增加网页访问安全性
Android 通过webview来实现网页的加载和访问，Webview提供了一个addJavascriptInterface方法，该方法可以把一个Java类注入到当前WebView的实例中，这样利用该Webview实例加载的页面就可以方便地利用Javascript与Java层通信了。
要在双方调用方法交换数据的时候更加安全，只允许特定的网址来访问加载，那就是需要在webview中增加访问白名单，只对特定的对象开放访问和加载。
具体做法
1.在webview.loadUrl 方法调用之前，调用白名单校验方法
2.在webview的shouldOverrideUrlLoading 方法中调用白名单校验方法，以便在网页初次加载后后续网页进行校验
具体代码
//校验白名单方法
private static boolean checkDomain(String inputUrl) {
if (!inputUrl.startsWith("http://")&&!inputUrl.startsWith("https://"))
{
return false;
}
String[] whiteList=new String[]{"site1.com","site2.com"};
java.net.URI url= null;
try {
url = new java.net.URI(inputUrl);
} catch (URISyntaxException e) {
return false;
}
String inputDomain=url.getHost(); //提取host
for (String whiteDomain:whiteList)
{
if (inputDomain.endsWith("."+whiteDomain)) //www.site1.com app.site2.com
return true;
}
return false;
//页面使用
public class MainActivity extends AppCompatActivity {
class JsObject {
@JavascriptInterface
public String getToken() {
Log.e("rebeyond","i am in getToken");
return "{\"token\":\"1234567890abcdefg\"}";
}
}
@Override
protected void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_main);
WebView webView = (WebView) findViewById(R.id.myWebview);
webView.getSettings().setJavaScriptEnabled(true);
webView.setWebViewClient(new WebViewClient(){
@Override
public boolean shouldOverrideUrlLoading(WebView view, WebResourceRequest request) {
Log.e("rebeyond","start to shouldOverrideUrlLoading url:"+request.getUrl());
//String inputUrl=request.getUrl().toString(); 此种写法存在隐患
String inputUrl=view.getUrl()
if (checkDomain(inputUrl))
{
return false; //域名校验通过，允许请求
}
return true; //域名校验失败，终止请求
}
});
webView.setWebChromeClient(new WebChromeClient());
webView.addJavascriptInterface(new JsObject(),"myObj");
String inputUrl="http://www.site1.com/redirect.php?url=https://www.rebeyond.net/poc.htm";
if (checkDomain(inputUrl))
{
Log.e("rebeyond","start to loadUrl:"+inputUrl);
Log.e("rebeyond","i am a white domain");
webView.loadUrl(inputUrl);
}
}
}
如此，便完成了网页的白名单校验
参考文章：【原创】一文彻底搞懂安卓WebView白名单校验-CSDN博客
