WebView Native Bridge 的 VMP 边界：先收紧 Origin，再保护业务决策

先把页面信任、消息入口和业务动作拆成三层

WebView Native Bridge 把网页执行环境连接到 Android 宿主能力。页面信任层决定哪些内容能加载和导航，消息入口层决定哪个 Origin 与 frame 能调用哪些命令，业务动作层决定当前账户和服务端状态是否允许执行。三层任一处过宽，都可能让不应拥有能力的页面抵达 Native。只对最终 Java 方法做 VMP，不会自动收窄前两层。

选择保护范围时，应先画出每个 WebView 实例、初始 URL、允许导航、JavaScript 开关、bridge 类型、公开方法、线程、输入 schema、敏感动作和服务端依赖。一个 App 可能同时存在帮助页、支付页、登录页和广告页，它们不能共享同一 bridge 策略。无法说明内容来源和业务目的的 WebView 不应默认拥有 Native Bridge。

VMP 的目标应当位于严格校验之后。页面消息先经过来源与主 frame 判断、大小限制、JSON 解析、版本和命令 allowlist、字段类型、nonce 与会话绑定，再形成最小不可变投影。只有承载高价值业务决策且适合当前工具的窄函数进入 VMP。解析、生命周期和网络胶水保持透明，便于审计和故障定位。

只向受控内容开放 JavaScript 和 Native 能力

Build Android WebView apps 说明 WebView 的 JavaScript、导航和 Native Bridge 需要明确可信内容与线程边界。页面能成功显示，只证明网络与渲染路径可工作，不证明跳转目标、子 frame、缓存内容或桥接调用者可信。每个实例应有精确 HTTPS Origin allowlist，并明确重定向、错误页、登录跳转和外部浏览器的处置。

导航策略不能只检查 URL 字符串前缀。应规范化 scheme、host、端口和 path，拒绝用户信息段、未知 scheme、通配主机和未批准重定向，并在每次主 frame 导航后重新评估 bridge 是否仍应存在。若页面离开可信 Origin，安全做法通常是移除 bridge、关闭会话或在外部浏览器打开，而不是继续依赖初始 URL 的信任。

页面来源还包括本地 HTML、动态拼接脚本、缓存、离线包和第三方子资源。它们的更新、签名和回滚责任需要单独记录。业务确需 JavaScript 时，只开启当前实例所需功能；不需要 bridge 的页面不注册对象或消息监听器。VMP 不能阻止已经被允许执行的脚本调用一个公开入口，因此能力最小化必须先完成。

addJavascriptInterface 和消息通道必须按来源能力分别设计

Android WebView native bridge risks 指出 addJavascriptInterface 与部分消息通道可能缺少充分的 frame 或 Origin 隔离，并把宿主能力暴露给页面。使用 addJavascriptInterface 时，应用不能仅靠桥接方法收到的一个字符串确认真实调用 frame，因为该值可以由页面构造。若同一 WebView 可能加载不可信内容或第三方 frame，敏感能力不应依赖这种自报来源。

支持来源信息的消息 API 应保存平台提供的 sourceOrigin、是否主 frame 和当前 WebView 导航状态，再与注册时的允许规则比较。允许规则应是精确 scheme、host 与端口，避免宽泛通配。Origin 通过后仍要校验消息内容，来源检查和输入 schema 回答不同问题。若 API 或兼容层无法提供项目需要的来源证据，应降低 bridge 能力而不是伪造一个默认 Origin。

Android WebView API 对 addJavascriptInterface、线程和版本行为给出约束。bridge 方法可能不在 UI 线程执行，处理器不能直接假设 Activity、View 或会话对象仍有效。入口应快速复制最小数据并调度到明确线程，业务状态在执行时重新读取。把线程切换、WebView 实例和 Activity 引用塞入 VMP 函数，会放大生命周期和并发风险。

文件访问与不可信脚本组合必须在 bridge 之前关闭

Android WebView unsafe file inclusion 指出文件访问、JavaScript 与不可信内容组合会扩大本地文件和脚本风险。若 WebView 不需要 file 或 content 资源，应关闭对应访问；若必须加载本地资源，应使用受控打包与明确映射，限制页面再导航到网络或其他本地路径。关闭单一设置并不代表完成，还要核对 URL allowlist、TLS 和 bridge 权限。

本地页面常被误认为天然可信，但它可能引用远程脚本、读取动态数据或通过更新包替换。安全清单应记录 HTML、脚本、CSS 和资源的来源摘要，禁止任意文件选择结果直接进入启用 bridge 的 WebView。错误页和离线页也要单独测试，避免网络失败后落到一个宽松本地页面，却保留原 bridge 与登录上下文。

敏感实例不应允许 file URL 获得通用网络访问，也不应允许不可信 content provider 材料与 JavaScript 混合执行。若业务必须组合，需要独立威胁模型和当前平台行为回执。VMP 对某个 Native 方法的变换无法阻止页面先读取不应访问的本地数据，也无法证明页面脚本没有被替换。

消息协议只允许固定命令和最小字段投影

bridge 消息应使用版本化 schema，而不是 methodName 加任意参数的反射调用。入口先限制字节长度和嵌套深度，再解析 protocolVersion、command、requestId、nonce 和 payload。command 使用固定枚举映射到内部 handler，不接受类名、方法名、脚本或文件路径。未知版本、未知命令、重复字段、错型和超限数据在进入业务层前拒绝。

每个命令拥有独立 payload schema。显示提示可以只接收受限文本键，打开业务页只接收内部 routeId，提交敏感动作只携带短期 transactionId。账户、角色、金额、权益、回调 URL、文件位置和原生类名不能因为来自可信 Origin 就直接使用。可信页面也可能有逻辑缺陷或被第三方脚本影响，Origin 不是字段授权。

消息应绑定当前 WebView 会话与一次性 nonce，requestId 用于响应关联和幂等线索。应用进程恢复、页面刷新、账户切换和主 frame 导航后，旧会话应失效。日志记录命令类型、结果码和摘要，不记录完整 payload、Cookie、令牌或个人数据。规范化输出只包含业务 handler 真正需要的字段。

敏感动作由服务端授权，VMP 只包住校验后的业务策略

bridge 可达不等于页面拥有 Native 业务权限。支付、账户变更、文件导出、设备绑定、会员权益或密钥操作应重新确认当前账户、交易状态、用户意图和服务端权限。页面 Cookie、前端变量、隐藏按钮或一个 isTrusted 字段都不能成为最终授权。高风险命令应打开 Native 确认界面或调用服务端，再根据可信回执更新本地状态。

更适合 VMP 的函数包括：规范化命令到业务策略的映射、服务端回执与当前 transactionId 的绑定、一次性状态转换和高价值结果映射。它们应接收小型不可变投影，返回明确 decision，不直接持有 WebView、Activity、MessagePort、JSON parser 或网络响应对象。这样能将保护对象与桥接协议隔离，也便于独立做保护前后测试。

应排除 @JavascriptInterface 入口、WebViewClient、WebChromeClient、Origin 解析、JSON 解析、线程调度、Cookie 管理、网络传输和第三方库。这些代码要么必须透明审计，要么平台耦合高，要么不承载最终业务价值。OWASP MASVS-RESILIENCE 将抗逆向视为纵深防御，VMP 不能替代服务端授权、内容信任和完整发布链。

测试要覆盖页面切换、子 frame、异常消息和保护前后语义

设备回归先验证页面信任：可信初始页、批准重定向、陌生 Origin、HTTP、file、content、错误页、缓存恢复、主 frame 与子 frame。每次导航后检查 bridge 是否按策略注册或移除，并保存平台提供的 Origin 和 frame 信息。单一正常页面通过不能代表所有内容来源和 WebView 版本行为。

消息回归覆盖正常命令、未知版本、未知命令、重复字段、错型、超长、深层嵌套、旧 nonce、重复 requestId、账户切换、页面刷新和进程恢复。敏感命令还要覆盖服务端拒绝、回执错绑、用户取消和幂等。失败必须发生在 Native 副作用之前，不能用捕获异常后继续执行来维持表面成功。

保护回归只针对最终 VMP 名单，比较保护前后 decision、异常、线程、回调顺序和性能预算，并绑定最终 APK 摘要。NIST SP 800-218 SSDF 要求保留来源、构建、验证和变更证据；任何 bridge 配置、页面包、VMP 清单或依赖变化都生成新候选，旧设备回执不能直接沿用。

• 每个 WebView 实例拥有独立页面和 bridge 策略
• 主 frame、子 frame、重定向和错误页分别测试
• file、content、缓存与不可信网络内容有拒绝回执
• schema、nonce、重复与超限消息在副作用前拒绝
• 敏感命令绑定当前账户、用户确认和服务端回执
• VMP 前后等价性绑定最终 APK 与目标设备矩阵

用桥接策略校验器阻止宽 Origin、文件访问和越界 VMP 名单

下面的 Python 示例读取 WebView Bridge 策略 JSON。它要求敏感实例关闭 file 与 content 访问、禁止通配或非 HTTPS Origin、使用可提供 Origin 和主 frame 证据的消息监听器、固定 schema 与命令、敏感命令必须服务端授权和用户确认，并限制 VMP 只用于 post-validation-policy、business-state-transition 或 server-receipt-mapping。

脚本只验证策略清单，不扫描 APK 字节码，也不访问页面或设备。生产流程应从最终 WebView 配置、bridge 注册点、公开方法、导航规则和 VMP 目标自动生成清单，并与在线内容、证书、设备 Origin 回执和服务端授权测试绑定。若业务确需 addJavascriptInterface，应使用独立低风险 schema 和受控页面范围，不能为通过示例伪报消息监听器。

申请 WebView Bridge 的商业加固评估时，可准备最终 APK、页面与 Origin 清单、WebView 设置、bridge API、消息 schema、命令权限、服务端授权边界、VMP 候选和设备回归计划，再从御盾中央平台提交申请。真实候选和回执到位前，不宣称脚本注入被阻断、bridge 不可利用或保护兼容已经通过。

• 策略清单由最终配置、bridge 注册和命令定义生成
• Origin 规则使用精确 HTTPS 且无通配
• 敏感实例关闭 file、content 与混合内容访问
• 平台 Origin 与主 frame 证据在消息入口复核
• 敏感命令需要用户确认与服务端最终授权
• VMP 只处理最小投影后的窄业务决策

from pathlib import Path
from urllib.parse import urlparse
import json
import sys

ALLOWED_VMP_ROLES = {"post-validation-policy", "business-state-transition", "server-receipt-mapping"}
FORBIDDEN_PAYLOAD_FIELDS = {"accessToken", "refreshToken", "role", "entitlement", "nativeClass", "methodName", "filePath"}

def load_policy(path_text):
    path = Path(path_text)
    if not path.is_file():
        raise SystemExit(2)
    try:
        value = json.loads(path.read_text(encoding="utf-8"))
    except (OSError, json.JSONDecodeError):
        raise SystemExit(2)
    if not isinstance(value, dict) or not isinstance(value.get("webViews"), list):
        raise SystemExit(2)
    return value["webViews"]

def exact_https_origin(value):
    if not isinstance(value, str) or "*" in value:
        return False
    parsed = urlparse(value)
    return parsed.scheme == "https" and bool(parsed.hostname) and parsed.path in ("", "/") and not parsed.query and not parsed.fragment

def require_strings(value):
    return isinstance(value, list) and value and all(isinstance(item, str) and item for item in value)

if len(sys.argv) != 2:
    raise SystemExit(2)
webviews = load_policy(sys.argv[1])
if not webviews:
    raise SystemExit(2)
seen_instances = set()
protected = []
for view in webviews:
    if not isinstance(view, dict) or not isinstance(view.get("name"), str) or view["name"] in seen_instances:
        raise SystemExit(3)
    seen_instances.add(view["name"])
    settings = view.get("settings")
    origins = view.get("allowedOrigins")
    commands = view.get("commands")
    if not isinstance(settings, dict) or not require_strings(origins) or not isinstance(commands, list):
        raise SystemExit(3)
    if any(not exact_https_origin(origin) for origin in origins):
        raise SystemExit(3)
    for field in ("allowFileAccess", "allowContentAccess", "allowUniversalAccessFromFileUrls", "mixedContentAllowed"):
        if settings.get(field) is not False:
            raise SystemExit(3)
    if view.get("loadsUntrustedContent") is not False:
        raise SystemExit(3)
    if view.get("bridgeType") != "web-message-listener" or view.get("originEvidence") is not True or view.get("mainFrameOnly") is not True:
        raise SystemExit(4)
    seen_commands = set()
    for command in commands:
        required = ("name", "protocolVersion", "payloadFields", "sensitive", "handlerRole", "useVmp")
        if not isinstance(command, dict) or any(field not in command for field in required):
            raise SystemExit(4)
        if not isinstance(command["name"], str) or command["name"] in seen_commands:
            raise SystemExit(4)
        seen_commands.add(command["name"])
        if not isinstance(command["protocolVersion"], int) or command["protocolVersion"] <= 0:
            raise SystemExit(4)
        if not isinstance(command["payloadFields"], list) or FORBIDDEN_PAYLOAD_FIELDS.intersection(command["payloadFields"]):
            raise SystemExit(4)
        if command["sensitive"] is True and (command.get("serverAuthorization") is not True or command.get("userConfirmation") is not True):
            raise SystemExit(5)
        if command["useVmp"] is True:
            if command["handlerRole"] not in ALLOWED_VMP_ROLES or command.get("inputProjection") is not True:
                raise SystemExit(5)
            protected.append(f"{view['name']}:{command['name']}")
if not protected:
    raise SystemExit(5)
print(json.dumps({"status": "eligible-for-device-review", "webViewCount": len(webviews), "vmpCandidates": protected}, ensure_ascii=False))