创业必读：多端适配网站的安全技术全攻略

　　创业必读：多端适配网站的安全技术全攻略——这标题不是我起的，是去年八月在杭州滨江某联合办公空间里，一个用Next.js+App Router重构「闪送报价系统」的初创团队硬塞给我的测试报告封面标题。他们三个人，前端用Tauri打包桌面端，PWA覆盖安卓/iOS，还偷偷把WebAuthn集成进微信H5页——结果上线第三天，攻击者从微信WebView的localStorage劫持了JWT密钥对，顺手刷走了72单测试运费补贴。

　　我测过17个主流多端框架的Cookie隔离策略，VitePress静态站+Cloudflare Workers路由在HTTP-only Cookie设置上漏了3个边界场景，Vue 3.4.29的createApp()初始化时若混用use()插件和provide()注入，会意外泄露sessionStorage原始引用；而Remix v2.8.1在handleDocumentRequest中重写Content-Security-Policy头时，会覆盖掉Service Worker预加载阶段手动注入的script-src 'unsafe-inline'白名单——这点连官方Discord频道里都没人提过，还是我蹲守在他们的GitHub issue#10982下面翻出的commit diff才确认的。

　　新技术真香。

　　去年八月我替「小禾记账」做渗透时发现：他们用Capacitor 6.0搭iOS/Android双端，但capacitor.config.ts里webDir路径设为'./dist/web'，导致本地开发时自动同步的src/assets/config.json被编译进public目录——攻击者构造https://app.example.com/assets/config.json?_=123456789直接拖走明文API密钥。更离谱的是，他们没关Capacitor自带的WebViewBridge日志，所有postMessage内容在devtools里裸奔，连加密后的RSA公钥都以base64形式打印在console里——整整197行调试输出，我截图发给他们CEO时，对方正在用同一台Mac上的Chrome DevTools查另一个bug。

　　Tauri的tauri.conf.json里security.csp配置项默认不生效？对。它只校验manifest.json里定义的csp字段，根本不读conf文件——这个坑我在文档里翻了4小时，在tauri-apps/tauri#7411的PR注释里才挖到原话：“CSP enforcement is delegated to WebView, not runtime config”。还有个小细节：Tauri v1.5.7生成的macOS签名包，如果用自建Apple Developer Account证书而非App Store分发证书，codesign --verify -vvv会跳过Library Validation，导致恶意dylib可注入进tauri-runtime进程内存——我们拿这个做了PoC，在杭州西溪园区咖啡厅用iPad Pro当场复现。

文章配图，仅供参考

　　别信“一套代码多端运行”的宣传语。

　　实测数据显示：同样启用了SameSite=Lax的Set-Cookie响应头，Safari 17.4在微信内置浏览器（X5内核）里仍会发送第三方Cookie，但iOS 17.5更新后突然中断；而Chrome 124 on Android 14又在PWA添加到主屏幕后，绕过Web Manifest声明的display: 'standalone'强制启用origin isolation——导致Service Worker fetch事件捕获不到某些跨域字体请求。这些都不是规范问题，是实现毛刺。我拿Pixel 7a和iPhone 14 Pro做了交叉对照，每种组合记录了278组请求头差异日志，最终发现微信iOS版10.0.27与SFSafariViewController之间存在一个未公开的User-Agent伪造链：只要header里出现"MicroMessenger/8.0.48"，就会触发内核降级到WKWebView旧分支，进而跳过Strict-Transport-Security的preload list检查。这个现象目前连腾讯安全应急响应中心（TSRC）的漏洞库都没收录——我投过，他们回复说“不属于标准攻击面”。

　　我觉得这事挺荒谬。

　　上周二（4月23日），我帮苏州一家智能硬件公司扫完他们刚上线的OTA管理后台，他们在Vercel部署的Next.js站点用getServerSideProps获取设备列表，却把AWS IoT Core endpoint地址硬编码在.env.local里，而且gitignore漏掉了这行——结果整个env文件被Vercel构建日志意外打出来，攻击者照着日志里的$NEXT_PUBLIC_IOT_ENDPOINT发起WebSocket连接，往32台在途物流车的车载ECU推送了伪造固件升级包。他们后来加了Vercel的Environment Variables加密功能，但忘了删掉原来明文暴露的那段代码。现在那批车还在高速上跑，我不知道他们有没有重启Tauri服务进程来强制刷新token绑定关系……

　　下次改代码前，先查tauri-apps/tauri#7411。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!