Android混合應(yīng)用細粒度訪問控制研究.pdf

1、移動智能終端的迅速普及吸引了眾多的應(yīng)用開發(fā)者開發(fā)豐富的應(yīng)用來為人們提供便捷的服務(wù)。近段時間，隨著移動設(shè)備性能提升和以 HTML5為代表的移動 Web技術(shù)的發(fā)展，一種新的基于HTML5的混合應(yīng)用以其開發(fā)的便捷性和良好的可移植性越來越受到開發(fā)者的青睞。在Android、iOS和Windows Phone等平臺中，混合應(yīng)用，又稱為移動網(wǎng)絡(luò)應(yīng)用，使用系統(tǒng)內(nèi)置的瀏覽器組件WebView來加載HTML5頁面和執(zhí)行JavaScript腳本。與移動平臺

2、原生應(yīng)用不同，混合應(yīng)用包含實現(xiàn)應(yīng)用功能邏輯的Web端代碼和訪問設(shè)備系統(tǒng)資源的本地代碼，WebView組件為Web端代碼和本地代碼之間的通信提供了多種橋接機制?；旌蠎?yīng)用的這種新特性在豐富應(yīng)用功能的同時也引入了新的安全問題。
　　首先對Android混合應(yīng)用的安全性進行研究，結(jié)合混合應(yīng)用軟件架構(gòu)和中間件開發(fā)框架的特點，系統(tǒng)分析了混合應(yīng)用的安全模型和可能產(chǎn)生的安全問題，指出Android混合應(yīng)用產(chǎn)生安全問題的主要原因在于其核心組件 We

3、bView在引入新的特性時打破了傳統(tǒng)瀏覽器應(yīng)用的沙箱模型，使得混合應(yīng)用中加載的Web內(nèi)容可以訪問設(shè)備上的系統(tǒng)資源，而Android系統(tǒng)并沒有提供系統(tǒng)級別的機制對這類訪問進行訪問控制。
　　針對這一問題，提出了一種基于混合應(yīng)用中間件開發(fā)框架PhoneGap的細粒度訪問控制模型。訪問控制模型將對系統(tǒng)資源的訪問操作以PhoneGap插件的形式進行封裝，并對混合應(yīng)用中可能加載的來自不同的源的網(wǎng)絡(luò)內(nèi)容授予不同的插件的訪問權(quán)限，以此來控制網(wǎng)絡(luò)