안드로이드 웹/앱 JavascriptInterface 로그인 보안

Question

개발 중인 앱에서 다음과 같은 화면 이동이 있습니다.로그인(Webview) -> 메인화면(App)로그인은 웹에서 이루어지고, 로그인이 성공할 경우 JavascriptInterface로 앱 함수를 호출해서 앱 화면으로 이동을 하려합니다.이때, 아래 코드처럼 로그인 성공/실패 여부를 단순히 Y,N 으로 보내면 해킹 위험이 있을 것 같은데, 보안이나 해킹 쪽을 잘 몰라서 질문합니다.JavascriptInterface를 이용한 웹/앱 통신구간의 결과값을 해킹해서 로그인 성공 여부를 조작 할 수 있을까요?저는 간단히 결과값을 암호화 하는 방법을 생각했는데, 보통 웹/앱간에 로그인이 필요할 경우 어떤 방식으로 웹/앱 간의 로그인 처리를 하는지 궁금합니다.function login_test(res){ // &#34;Y&#34;면 성공 &#34;N&#34;이면 실패 window.callNative.TestFunction(res, &#34;&#34;) }&#64;JavascriptInterface fun LoginSuccess(params: String, callBackFunc: String) { if(params.equals(&#34;Y&#34;)){ Intent(this&#64;LoginActivity, MainActivity::class.java).apply { addFlags(Intent.FLAG_ACTIVITY_NEW_TASK) startActivity(this) } } }

ejloveu · Accepted Answer

XSS 관련인데...구글에서 웹앱 검수할때 저거 처리 안하면 안된다고 반려를 합니다.앱에서 JavascriptInterfac 요거 사용하면 구글에서 하는 테스트입니다.url에 script를 넣기도 하지만input data 또는 첨부 파일로 xss 하는 경우가 있습니다. (사실 이런거는 다 쳐 막기는 어렵습니다.)가장 가능성 높게 하는 것은 domain whitelist를 만들어서 허용한 도메인이 아니면 접근 못하게 합니다.파일 업로드/다운로드 없으면 webview settings 옵션에서 파일 접근 권한 모조리 막습니다.

ejloveu · Answer

앱 웹간 로그인은 토큰을 이용하시는게 정신건강에 좋습니다.웹에서 로그인 성공하면 앱메인으로 보내는거보다 앱에 로그인 체크 모듈을 실행하게 만들어서 성공하면 메인으로가게 하는방식이 낫겠네요

안드로이드 웹/앱 JavascriptInterface 로그인 보안

2개의 답변

Q&A 목록