Flutter中WebView有哪些安全使用方式或可替代方案？

嵌入式WebView实现OAuth流程是OAuth规范明确不推荐的做法，核心风险是宿主App可完全读取WebView内的用户输入、Cookie与授权回调参数，既违反Google、Facebook的平台政策，也极易引发凭证窃密、钓鱼诈骗等安全问题

可直接替代WebView的合规方案 #

• 优先使用服务商官方维护的Flutter登录插件
  对接Google、Facebook登录不要自己基于REST API封装逻辑，直接用官方推出的Flutter插件即可。这类插件不会走App内嵌WebView：如果用户设备上安装了对应服务商的官方App，会直接唤起App走应用间一键授权；如果没有安装对应App，会自动唤起系统独立安全浏览器完成登录流程，整个账号密码输入环节在官方App或系统沙箱内运行，你的App无法读取任何用户输入的凭证信息，是安全性最高的实现方式。
• 遵循原生App OAuth规范，用系统浏览器完成授权流程
  如果对接没有官方Flutter SDK的OAuth服务，可通过URL唤起系统默认浏览器打开授权页，授权完成后通过通用链接（Universal Link）/应用链接（App Link）跳转回你的App，同时搭配PKCE（代码交换证明密钥）校验机制。这套实现是OAuth 2.0原生应用规范明确要求的标准方案：系统浏览器运行在独立沙箱，App无法读取浏览器内的任何数据；PKCE机制可以保证就算授权码被恶意截获，攻击者也无法换取有效的访问令牌，完全规避内嵌WebView的安全缺陷。注意原生App属于公开客户端，不要把client_secret硬编码在客户端代码里。

特殊场景必须使用WebView时的安全加固方法 #

如果业务有强需求无法使用上述方案，必须内嵌WebView实现OAuth流程，必须做以下安全配置，把风险降到最低：

• 做严格的域名白名单拦截
  在WebView的导航回调中配置白名单，仅允许加载OAuth服务商的官方域名下的页面，所有跳转到非白名单域名的请求直接拦截阻断，禁止加载第三方未知页面。
• 最小化WebView权限
  默认关闭WebView的JavaScript执行权限，仅对OAuth流程必须的页面开放JS能力；禁用WebView的本地文件访问、内容提供者访问、跨域本地存储读取权限，切断恶意页面窃取App本地数据的通道。
• 配置证书绑定（SSL Pinning）
  在WebView的网络请求层做证书指纹校验，仅信任持有服务商官方合法证书的服务端响应，防范中间人攻击伪造官方登录页窃取用户凭证。
• 流程结束后即时清理所有状态
  OAuth授权流程完成、拿到授权结果后，立刻清空WebView的所有Cookie、缓存、本地存储数据，不要留存任何授权相关的会话状态，避免后续页面读取到残留的敏感信息。
• 增加防钓鱼提示
  WebView加载登录页时，在页面固定位置展示当前访问的完整域名，让用户可以直观确认当前访问的是官方登录页，不是仿冒的钓鱼页面。

内容的提问来源于stack exchange，提问作者Rozan Shrestha