移动端H5网站专属漏洞防护实战技巧

移动端H5的漏洞挖掘思路和PC端存在本质区别。多数人习惯把WAF规则、SQL注入那套逻辑直接平移过来，却忽略了H5在移动环境下的专属攻击面。H5页面运行在WebView容器里，这个容器本身就是一座桥梁，连接着网页代码和操作系统底层能力。攻击者一旦突破H5上下文，往往能拿到远超Web权限的系统级能力，这才是移动端H5防护要解决的核心问题。

JSBridge是H5与原生App通信的核心通道，也是攻击面最集中的区域。绝大多数移动端H5漏洞防护方案只做了URL白名单校验，这种思路过于单一。攻击者可以通过Deep Link跳转、Intent Scheme劫持、甚至第三方输入法剪贴板投毒的方式，把恶意JS代码注入到WebView环境里。一旦JSBridge接口被伪造调用，攻击者就能读取通讯录、调用摄像头、甚至静默安装应用包。

实战中需要做三层拦截。第一层在WebView层面，通过shouldOverrideUrlLoading对所有URL请求做Scheme、域名、路径的正则严格匹配，不要用contains这种宽松判断。第二层在JSBridge消息体层面，对所有通过postMessage或evaluateJavascript传入的参数做类型校验和长度限制，字符串参数强制做HTML实体编码后再透传。第三层在原生接口层面，所有暴露给H5的原生方法必须加上权限分级，敏感操作比如获取设备指纹、读取本地文件，需要用户手势触发才能执行，禁止纯脚本静默调用。

H5在移动端的跨域问题比PC端复杂得多，因为文件协议、本地存储、Service Worker这些机制在WebView里的行为经常不一致。很多开发者为了本地调试方便，直接开启了WebView的allowFileAccessFromFileURLs和allowUniversalAccessFromFileURLs选项，这等于把整个沙箱拆掉了。攻击者只要诱导用户打开一个本地HTML文件，就能通过XMLHttpRequest读取应用沙盒目录下的所有敏感文件，包括数据库文件、缓存的认证token、甚至其他应用的私有目录。

修复方案不是简单关掉这两个开关就完事。实际业务中H5可能需要加载本地资源，这时候必须改用WebViewAssetLoader机制，把本地资源映射到一个虚拟域名下，让H5通过HTTPS请求的方式加载，而不是直接走file协议。同时对所有WebView实例强制开启setAllowContentAccess(false)和setAllowFileAccess(false)，除非业务有明确需求且经过安全评审。另外要注意Service Worker的scope范围，不要注册在根路径下，避免恶意Service Worker拦截所有网络请求。

移动端H5的HTTPS通信面临的风险比浏览器环境更大。系统根证书存储区可能被用户手动安装的恶意CA证书污染，某些国产ROM甚至会预置代理证书。攻击者利用这一点，配合公共WiFi环境就能对H5页面做全流量劫持，注入恶意JS代码或篡改接口返回数据。单纯依赖系统默认的证书校验机制是不够的。

需要在WebView层面实现SSL Pinning，把服务端证书的公钥哈希值硬编码在应用包里，在onReceivedSslError回调中做二次比对。但要注意Pinning策略的灵活性，建议同时内置两套证书指纹，一套当前使用的，一套备用证书的，防止证书轮换时导致大面积用户无法访问。另外要禁用WebView的第三方Cookie写入，避免攻击者通过中间人篡改Set-Cookie头来劫持用户会话。对于敏感数据接口，在应用层再做一层请求签名，把时间戳、随机数、请求体摘要拼在一起用HMAC-SHA256签名，服务端验签不通过直接拒绝，这样即使HTTPS被降级攻击，篡改后的请求也无法通过签名校验。

DOM Clobbering这种攻击手法在移动端H5场景下危害被严重低估了。攻击者通过注入看似无害的HTML标签，比如form、img、a标签，利用它们的name或id属性去覆盖页面中已有的JavaScript全局变量或DOM属性，从而篡改代码执行逻辑。移动端WebView的DOM解析引擎和Chrome浏览器存在差异，某些标签的name属性在iOS的WKWebView里会直接挂载到window对象上，在Android的WebView里行为又不一样，这种差异性导致很多基于浏览器测试的防护规则在移动端失效。

防护的核心思路是从编码层面切断变量覆盖路径。所有DOM查询操作不要直接用全局变量名，改用document.getElementById或document.querySelector并做null判断。对于第三方脚本加载，在CSP策略里严格限制script-src来源，同时加上sandbox属性限制iframe的能力。另外要特别注意移动端H5里常见的jsonp回调函数名、URL hash片段取值、postMessage消息来源校验这三个点，它们是移动端XSS的高发区，必须对输入做严格的白名单过滤，不能依赖黑名单。

localStorage、sessionStorage、IndexedDB这些浏览器存储机制在移动端H5里的安全性比PC端更脆弱。Android WebView默认会把localStorage数据存放在应用数据目录下的明文SQLite数据库里，只要手机被root或者应用存在路径遍历漏洞，攻击者就能直接读取这些文件。很多开发者习惯把用户token、个人信息甚至支付凭证直接塞进localStorage，这在移动端是极度危险的。

敏感数据必须加密后再写入本地存储，加密密钥不要硬编码在JS代码里，而是通过JSBridge从原生层获取，原生层再用Android Keystore或iOS Keychain生成设备绑定的密钥。同时设置WebView的数据库存储路径到应用私有目录，并设置文件权限为仅当前应用可读写。对于不再使用的数据要及时清理，避免残留。另外可以考虑用HttpOnly、Secure属性的Cookie替代localStorage来传递认证凭证，配合SameSite属性防止CSRF攻击。

移动端H5的安全水位很大程度上取决于WebView组件本身的版本。Android系统WebView的更新由Google Play Store推送，但国内用户普遍没有Google服务，导致大量设备运行着存在已知漏洞的旧版WebView。iOS端虽然WKWebView随系统更新，但很多App为了兼容性仍然选择使用UIWebView，而UIWebView已经被苹果标记为废弃且不再修复安全漏洞。

App开发团队必须强制使用WKWebView或Android System WebView的最新稳定版本，在代码里检测WebView版本号，低于安全基线的版本要提示用户升级系统或WebView组件。同时建立漏洞情报监控机制，关注Chromium和WebKit的公开漏洞库，一旦有影响移动端H5的高危漏洞披露，第一时间评估影响范围并推动客户端发版修复。对于实在无法升级的老旧设备，可以考虑在服务端对这部分用户降级提供纯原生功能，减少H5暴露面。

H5资源文件存放在服务端，客户端每次加载时通过网络拉取，这个过程中存在被篡改的风险。CDN节点被入侵、DNS劫持、运营商流量劫持都可能导致用户加载到被植入恶意代码的H5页面。很多团队只关注了HTTPS传输加密，忽略了资源文件本身的完整性校验。

需要引入Subresource Integrity机制，在HTML里对script和link标签加上integrity属性，指定资源的哈希值，浏览器在加载时会自动校验文件内容是否匹配。但SRI只能覆盖静态资源，对于动态生成的HTML内容，需要在服务端对响应体做数字签名，客户端在WebView的shouldInterceptRequest回调里拦截网络请求，拿到响应体后先验签再渲染。签名算法建议用ECDSA，性能比RSA好很多，适合移动端场景。签名公钥可以内置在应用包里，定期通过客户端发版轮换。

H5页面在移动端有大量场景需要获取用户隐私数据，比如位置信息、通讯录、相册照片等。这些数据一旦被恶意脚本窃取，后果远比PC端严重。很多H5页面在获取到这些数据后，直接在JS层做业务逻辑处理，然后明文传输到服务端，中间任何一个环节出问题都会导致数据泄露。

正确的做法是把隐私数据的处理逻辑下沉到原生层，H5只通过JSBridge拿到脱敏后的结果。比如定位需求，H5不应该拿到精确的GPS坐标，而是由原生层转换成城市名称或区域编码后再返回。相册选图功能，原生层先对图片做压缩和EXIF信息剥离，再返回给H5一个临时URL。所有涉及用户隐私的接口调用，原生层必须弹出系统级权限提示，让用户明确感知并授权，不能静默获取。服务端存储这些数据时也要做加密和访问控制，避免被拖库后直接暴露。

攻击者经常会把H5页面放到自己控制的WebView环境里运行，比如通过逆向App后重新打包，或者用自动化框架创建WebView实例加载H5页面，然后注入脚本窃取数据、刷接口、做自动化作弊。这种攻击方式绕过了App本身的安全防护，直接在更底层操作WebView。

H5页面需要具备运行时环境检测能力。可以通过检测window.navigator.userAgent是否被篡改、判断WebView的prototype链上是否存在原生方法被Hook的痕迹、检查页面加载时的performance timing是否异常等方式来识别非官方环境。更有效的做法是在JSBridge初始化时，让原生层传递一个动态生成的签名给H5，这个签名由App包签名、设备指纹、时间戳组合计算得出，H5在每次调用敏感接口时都要回传这个签名，原生层验签不通过就拒绝服务。这种双向校验机制能有效对抗重打包和模拟器环境。

移动端H5漏洞防护不能只停留在WAF规则和代码审计层面，必须深入理解WebView的运行机制和移动操作系统的安全模型，从通信加密、本地存储、JSBridge接口、运行环境等多个维度构建纵深防御体系。每一次H5页面的加载都是一次完整的安全链路校验，任何一个环节的疏忽都可能成为攻击者的突破口。