在这篇文章中，我将告诉你我是如何使用 HTML 注入在小米浏览器中执行任意 JavaScript 的。
原作者：Neil Bergman 译：Holic (知道创宇404安全实验室) 译者测试环境：Maxthon 4.5.6，Android 5.1.1 / Android 4.2.2 Maxthon Browser（傲游浏览器） 又是一个当下比较流行的 Android 浏览器，未使用Android 的 stock 浏览器（AOSP）。我在 Android 版的浏览器中发现了一些有趣的甚至有些严重的漏洞，可能导致远程代码执行和信息泄漏。 漏洞要点： 暴露的 JavaScript 接口导致任意文件写入 - 恶意网
在控制台中输入window.performance.timing(html5的属性);
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
先后涌现出了具备后端能力的node，具备移动开发能力的react native，具备游戏渲染能力的cocos2d-js，以及iOS上的热修复技术JSPatch等等新技术。
在使用WebView开发时注入JS对象，当App具有读写SDCARD权限，那么注入的JS对象就可以通过反射机制获取到Java对象Runtime，并调用静态方法来执行一些命令，如读写文件命令等。
在App开发中，内嵌WebView始终占有着一席之地。它能以较低的成本实现Android、iOS和Web的复用，也可以冠冕堂皇的突破苹果对热更新的封锁。 然而便利性的同时，WebView的性能体验却备受质疑，导致很多客户端中需要动态更新等页面时不得不采用其他方案。 以发展的眼光来看，功能的动态加载以及三端的融合将会是大趋势。那么如何克服WebView固有的问题呢？我们将从性能、内存消耗、体验、安全几个维度，来系统的分析客户端默认WebView的问题，以及对应的优化方案。 性能 对于WebView的性能，给人
对于前端开发来说，在pc端使用chrome等浏览器的开发者工具简直是好用到爆，Chrome手机模拟器可以帮助开发调试移动端web页面，然而在真机内调试起移动端web页面的时候就显得无从下手。目前已经有不少移动端的真机调试工具，本人在综合使用后推荐以下两类调试方案：chrome/safari真机调试 和 spy-debugger调试。
| 导语 现如今，在做移动端 H5 开发时，少不了与 Native 之间进行交互。而在Native中，H5的承载容器为 WebView，其核心是使用 WebView 控件实现加载 url。
| 导语 现如今，在做移动端 H5 开发时，少不了与 Native 之间进行交互。而在Native中，H5的承载容器为 WebView，其核心是使用 WebView 控件实现加载 url。 WebView的概念 WebView 用来展示网页的 view 组件，该组件是你运行自己的浏览器或者在你的线程中展示线上内容的基础。使用 Webkit 渲染引擎来展示，并且支持前进后退等基于浏览历史，放大缩小，等更多功能。 简单来说 WebView 是手机中内置了一款高性能 Webkit 内核浏览器，在 SDK 中封
本文作者 作者：reezy 链接： https://www.jianshu.com/p/a6f7b391a0b8 本文由作者授权发布。 文章较长，且大部分说明包含在注释中，建议收藏后慢慢看~ 1 目录 1. 相关API 1.1. 相关类介绍 1.2. WebView 1.3. WebSettings 1.4. WebViewClient 1.5. WebChromeClient 2.回调顺序 3.视口(viewport) 4.管理 Cookies 5.缓存(Cache) 6.预加载(Preload) 6
JS调用原生不外乎就两种，一种是传假的url，也就是url拦截的方式，类似于下面这种：
本文介绍了应用宝在Android平台支持Web自动化测试的方案，主要从架构设计、实现细节、流程梳理、支持Web自动化测试方案、Web多进程后的支持方案、Web自动化测试方案的插件化设计等方面进行了详细阐述。方案采用的主要技术包括Java、Android、JavaScript、Appium、Selenium、XWalk等，并介绍了如何通过插件化的方式实现Web自动化测试，以支持多进程、提高测试效率、保证测试准确性和稳定性，同时也为其他平台的Web自动化测试提供了参考和借鉴。
为了提高开发效率，开发人员往往会使用原生app里面嵌套前端h5页面的快速开发方式，这就要涉及到h5和原生的相互调用，互相传递数据，接下来就实践项目中的交互方式做一个简单的记录分享，废话不多说，直接上正文：
提到前端编译工具链方面，可能大家最新想到的是诸如@babel/preset-env、core-js、regenerator-runtime等工具。不过，我们今天要讲的是官方的 Vite 插件@vitejs/plugin-legacy，以及如何将这些底层的工具链接入到 Vite 中，并实现开箱即用的解决方案。
随着 iOS 13 的发布，深色模式（Dark Mode）越来越多地出现在大众的视野中，支持深色模式已经成为现代移动应用和网站的一个潮流，前段时间更是因为微信的适配再度引起热议。深色模式不仅可以大幅减少电量的消耗，减弱强光对比，还能提供更好的可视性和沉浸感。
最近在做一个项目过程中，发现了一个很严重的安全漏洞，这个漏洞是乌云平台（http://www.wooyun.org）报告出来的。 1，使用场景 我们很多时候要使用WebView来展示一个网页，现在很多应用为了做到服务端可控，很多结果页都是网页的，而不是本地实现，这样做有很多好处，比如界面的改变不需要重新发布新版本，直接在Server端修改就行了。用网页来展示界面，通常情况下都或多或少都与Java代码有交互，比如点击网页上面的一个按钮，我们需要知道这个按钮点击事件，或者我们要调用某个方法，让页面执行某种
近些年，移动端普及化越来越高，开发过程中选用 Native 还是 H5 一直是热门话题。Native 和 H5 都有着各自的优缺点，为了满足业务的需要，公司实际项目的开发过程中往往会融合两者进行 Hybrid 开发。Native 和 H5 分处两地，看起来无法联系，那么如何才能让双方协同实现功能呢？
随着移动互联网的普及和快速发展，手机成了互联网行业最大的流量分发入口。以及随着5G的快速发展，未来越来越多的“端”也会如雨后春笋般快速兴起。而“快”作为互联网的生存之道，为了占领市场，企业也会积极跟进，快速布局。同一个应用，各个“端”独立开发，不仅开发周期长，而且人员成本高。同时，作为技术人员，也不应该满足于这种重复、低能的工作状态。在这样的形势下，跨平台的技术方案也受到越来越多人和企业的关注。接下来，我将从原理、优缺点等方面为大家分享《跨平台技术演进》。
移动终端性能测试 活动时间：2016年12月27日 QQ群视频交流 活动介绍：TMQ在线沙龙第十五期分享 本次分享的主题是移动终端性能测试。 共有122位测试小伙伴报名参加活动，在线观看视频人数55人~想知道活动分享了啥吗？往下看吧！ 活动嘉宾 嘉宾简介 陈六四，腾讯高级测试工程师，负责QQ浏览器视频测试和工具的开发，在视频领域发表多项专利。 分享主题 性能测试介绍 终端性能测试的主要指标 终端性能测试的主要方法 总结 问答环节 1、提问：您好，请问下在monkey测试稳定性的时候，对apk集合
我们接下来要介绍的这个漏洞，其影响了Android版本4.4以下的自带浏览器和一些其他特定的Android浏览器，它允许黑客读取sqlite格式的cookie数据库文件，从而窃取cookie。顺着这个问题，我们来谈一谈Android版本4.4以下的跨站数据窃取攻击。 FreeBuf小科普 Intent Scheme URL攻击：这种攻击方式，利用了浏览器保护措施的不足，通过浏览器作为桥梁间接实现Intend-Based攻击。相比于普通Intend-Based攻击，这种方式极具隐蔽性，而且由于恶意代码隐藏
随着 Web 技术和移动设备的飞速发展，各种 APP 层出不穷，极速的业务扩展提高了团队对开发效率的要求，这个时候使用 IOS/Andriod 开发一个 APP 似乎成本有点过高了，而 H5 的低成本、高效率、跨平台等特性马上被利用起来形成了一种新的开发模式：Hybrid APP。
Android 作为一个普及度、成熟度极高的平台，每天都有大量新 APP 涌现。开发一款 Android 应用，除了要有新颖的创意和高效的性能，保证安全性也是不容忽视的问题。俗话说打铁还需自身硬。接下来，我们会陆续与大家分享一些常见、不常见的代码风险问题，希望对您的 Android 开发工作有一定的启发和助益。
代码组织： 目录结构： . ├── components //组成应用的各个组件 │ ├── Routers.android.js //每个组件若实现不一样，分为android的实现和ios的实现。 │ ├── Routers.ios.js │ ├── common //公共组件 │ ├── issues //议题页面 │ ├── navigation //导航组件，android用侧边栏，ios准备用tab │ └── project
目录介绍 01.前沿说明 1.1 案例展示效果 1.2 该库功能和优势 1.3 相关类介绍说明 1.4 WebView知识点 02.如何使用 2.1 如何引入 2.2 最简单使用 2.3 常用api 2.4 使用建议 2.5 异常状态类型区分 2.6 该库流程图 03.js调用 3.1 Java调用js方法 3.2 js调用java方法 3.3 js的调用时机分析 3.4 js交互原理分析 04.问题反馈 05.webView优化 06.关于参考 07.其他说明介绍 01.前沿说明 基于腾讯x5开源库，提高
之前介绍了移动端开发的相关技术，这一篇主要是从 Hybrid 开发的 JS Bridge 通信讲起。
在爬虫调试的时候一个良好的调试习惯,正确的调试技巧。绝对能让您在抓包，定位及JS解密与JS逆向等各种方面事半功倍。
一、方案背景介绍 随着互联网技术的发展，用户使用QQ浏览器进行上网观看视频越来越多，最近统计目前使用QQ浏览器观看视频已经过亿。不同的用户由于不同的场景下播放不同的网站的视频源，可能会出现播放失败的情况，而这些失败的播放数据会通过数据上报系统上报至运营后台，将后台拉取数据并经过一定的分析，就能得到播放失败的网站、机型、时间、网络状态等信息，下图是最近后台统计的播放失败率最高的几个视频网站，如下图所示： 当然播放失败可能有多种原因而导致的，例如：浏览器对该种类型的网络视频不兼容、网络视频本身出现问题、用
前言 我们大前端团队内部 📖每周一练 的知识复习计划继续加油，本篇文章是 《Hybrid APP 混合应用专题》 主题的第二期和第三期的合集。 这一期共整理了 10 个问题，和相应的参考答案，文字和图片较多，建议大家可以收藏，根据文章目录来阅读。 之前分享的每周内容，我都整理到掘金收藏集 📔《EFT每周一练》 上啦，欢迎点赞收藏咯💕💕。 内容回顾： 《EFT 每周分享 —— Hybrid App 应用开发中 5 个必备知识点复习》 《EFT 每周分享 —— HTTP 的15个常
UIWebView 是苹果继承于 UIView 封装的一个加载 web 内容的类,它可以加载任何远端的web数据展示在你的页面上，你可以像浏览器一样前进后退刷新等操作。不过苹果在 iOS8 以后推出了 WKWebView 来加载 Web，并应用于 iOS 和 OSX 中，它取代了 UIWebView 和 WebView ，在两个平台上支持同一套 API。
前言 我们大前端团队内部 ?每周一练 的知识复习计划继续加油，本篇文章是 《Hybrid APP 混合应用专题》 主题的第二期和第三期的合集。 这一期共整理了 10 个问题，和相应的参考答案，文字和图
RPC，英文 RangPaCong，中文让爬虫，旨在为爬虫开路，秒杀一切，让爬虫畅通无阻！
随着智能手机的普及，移动互联网已经深入到生活的方方面面，用户更习惯于直接通过手机来使用各种应用程序，DApp自然也不例外。
有一类专门针对浏览器的攻击，被称为浏览器中间人（MITB）攻击。想要实现这类攻击，方式也非常的多，像恶意 DDL 注入，扩展欺骗或将一些特制的恶意代码注入到浏览器页面中，欺骗代理服务器等。MITB
设备指纹、浏览器指纹也是同理根据软硬件信息，设备版本、设备操作系统等差异性从而生成唯一的设备指纹。
我们开发的 h5 页面运行在端上的 WebView 容器之中，很多业务场景下 h5 需要依赖端上提供的信息/能力，这时我们需要一个可以连接原生运行环境和 JS 运行环境的桥梁 。 这个桥梁就是 JSB，JSB 让 Web 端和 Native 端得以实现双向通信。
这个问题首先你要明白，WKWebView有自己的进程，使用自己的存储空间来存储cookie和cache，WKWebView会忽视NSURLCache、NSHTTPCookieStorage、NSCredentialStorage这些默认的网络存储， 其他的网络类如NSURLConnection是无法访问到的。 同时WKWebView发起的资源请求也是不经过NSURLProtocol的，导致无法自定义请求。
作者：蒋海滔，阿里巴巴国际事业部，高级技术专家，爱好Java/JavaScript，长期关注高性能、并发编程以及Web安全。 来自：高可用架构(ID:ArchNotes) 一，互联网web应用面临的主要威胁 1. XSS 跨站脚本攻击(Cross Site Scripting)， 即A站点的网页想办法跑到B站点上。 因为我们的网页都是javascript驱动的，所以js拥有非常大的权力。 XSS 可以大概分为三类(注意这三类不是排斥的)， DomXSS, 反射型XSS和存储型XSS。 首先Dom型XS
前言 我们大前端团队内部 ?每周一练 的知识复习计划继续加油，本篇文章是 《Hybrid APP 混合应用专题》 主题的第二期和第三期的合集。 这一期共整理了 10 个问题，和相应的参考答案，文字和
很多时候，我们在进行移动端开发时，都是先在PC端使用手机模拟器进行调试，没有问题后，我们才会在手机端的浏览器进行测试，这个时候，如果没有出现问题，皆大欢喜。但是一旦出现问题，我们就很难解决，因为缺乏可视化的界面。不似在PC端，我们能直观的去改变样式，或者是进行断点调试。有时，在移动端我们不得不借助于alert来调试，但是这样的调试方法效率极其低下，很多时候，都是靠经验，或者是靠排除法。甚至，我们不得不归结为是浏览器的实现问题。
在传统的web应用开发中，大多数的程序员会将浏览器作为前后端的分界线。将浏览器中为用户进行页面展示的部分称之为前端，而将运行在服务器，为前端提供业务逻辑和数据准备的所有代码统称为后端。 由于前后端分离这个概念相对来说刚出现不久，很多人都是只闻其声，不见其形，所以可能会对它产生一些误解，误以为前后端分离只是一种web应用开发模式，只要在web应用的开发期进行了前后端开发工作的分工就是前后端分离。 其实前后端分离并不只是开发模式，而是web应用的一种架构模式。在开发阶段，前后端工程师约定好数据交互接口，实现并行开发和测试；在运行阶段前后端分离模式需要对web应用进行分离部署，前后端之前使用HTTP或者其他协议进行交互请求。 前后端分离原则，简单来讲就是前端和后端的代码分离也就是技术上做分离。推荐的模式是最好直接采用物理分离的方式部署，进一步促使进行更彻底的分离。不要继续以前的服务端模板技术，比如JSP ，把Java JS HTML CSS 都堆到一个页面里，稍复杂的页面就无法维护。
阿里妹导读：本文分享支付宝小程序 V8 Worker 相关工作沉淀和总结，包括技术演进、基础架构、基础功能、以及 JS 引擎能力输出，以及一些优化方案等。欢迎同学们共同探讨，指正。
今天开发的时候遇到一个需求，就是需要隐藏webview的元素，鼓捣了半天 在stack overFlow找到了解决办法 在此记录一下
现在不管是「桌面客户端」还是「移动客户端」，都会夹杂着一部分H5页面，这种混合式的应用也是我们常说的「Hybrid App」。为什么会出现「Hybrid App」呢，早期是因为开发一个Android或iOS的客户端，需要的人力成本比较大，开发周期比较长，后来有些团队就通过将部分页面拆分出来，由前端来完成，再通过在客户端里的Webview来展示。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
