mPaaS 建议所有的 JSAPI 访问都需要添加访问控制,目前可以通过设置 provider 的方式添加访问控制。
设置自定义权限控制 provider。
public class H5JSApiPermissionProviderImpl implements H5JSApiPermissionProvider { @Override public boolean hasDomainPermission(String jsapi, String url) { // 在该方法里,对所有url的jsapi请求进行校验,安全的url才可以放行,true表示jsapi可以调用,false表示不可以调用 // 注意:以下代码仅供参考,请根据您实际的业务需要,对url和jsapi进行校验 // 另外还需对 jsapi、url、uri 等参数进行判空操作,防止发生 Nullpointer 异常 Uri uri = Uri.parse(url); String domain = uri.getHost(); String scheme = uri.getScheme(); if (!TextUtils.isEmpty(domain) && domain.equals("www.example.com") && "https".equals(scheme)) { return true; } else { return false; } } @Override public boolean hasThisPermission(String jsapi, String url) { // 默认返回 false 即可 return false; } }
重要URL 要进行精准匹配,至少要匹配到 URI 类的 scheme 和 host 信息,慎用或不用正则匹配,严格避免使用 contains、startsWith、endsWith、indexOf 等不精准函数。
在 mPaaS 初始化之后,调用容器之前,设置 provider。
H5Utils.setProvider(H5JSApiPermissionProvider.class.getName(), new H5JSApiPermissionProviderImpl());