В Android WebView 157 внедрили API для изоляции междоменных ресурсов

Google добавила в WebView API выборочной изоляции междоменных ресурсов

В апдейте появился новый API выборочной изоляции межсайтовых ресурсов: он позволяет селективно закрывать SharedArrayBuffer и подобные объекты от непроверенных доменов, оставляя доступ для доверенных источников. Это косвенно затрагивает каждого, кто открывает веб-контент внутри мобильных приложений — а это подавляющее большинство Android-сценариев.

Как работает новый механизм

WebView — это браузерный движок, который Android-приложения используют для отрисовки HTML, JavaScript и веб-API без запуска отдельного браузера. Проблема в том, что междоменные ресурсы (cross-origin) по умолчанию либо жёстко блокируются, либо недостаточно изолированы, что открывает пространство для атак. Новый API в версии 157 добавляет промежуточный уровень: разработчик может объявить список доверенных доменов, для которых SharedArrayBuffer и аналогичные ресурсы остаются доступными, а для всех остальных включается строгая изоляция.

По информации 9to5Google, обновление также устраняет ряд уязвимостей безопасности и оптимизирует вывод веб-контента внутри сторонних мобильных приложений.

Почему это важно прямо сейчас

С точки зрения пользовательского опыта обновление решает затык, который существовал годами: веб-контент в приложениях либо падал из-за слишком строгой изоляции, либо работал, но с дырами в безопасности. Новый API позволяет приложениям получить рабочий браузерный API для доверенных ресурсов без риска для остальных сайтов.

Для разработчиков мобильных приложений это означает: если ваше приложение рендерит веб-часть через WebView и полагается на SharedArrayBuffer (WebAssembly, видео, распределённые вычисления в браузере), обновление до версии 157 убирает необходимость хаков и обходных путей.

Для конечных пользователей эффект менее заметен на первый взгляд, но важен: обновление WebView приходит через Google Play тихо, без перезагрузки системы. Если вы обновляете приложение, которое рендерит веб-контент, версия 157 подтянется автоматически.

Что отслеживать

Стоит проверить, поддерживает ли ваше Android-приложение новый API, особенно если оно использует WebAssembly или расширенные браузерные API. Google постепенно разворачивает обновления WebView через Play Store; если изменения ещё не применились, можно принудительно обновить компонент через системные настройки или приложение Google Play Store.