Android WebViews و Deep Links و چطور می‌تونن خطرناک باشن

📅 نوشته: Ken Gannon — 28 ژانویه 2026

📱 توی اندروید،
کامپوننت WebView یک کامپوننتیه که به اپ اجازه می‌ده صفحات وب رو در داخل خودش باز کنه، مثل مرورگر داخل اپ.

لینک‌های Deep Link هم لینکیه که وقتی کاربر روش کلیک کنه، مستقیماً قسمت خاصی از اپ رو باز می‌کنه.

⚠️ مشکل اصلی وقتی شروع میشه که یک Deep Link کنترل URL ای رو که WebView باید باز کنه به دست بگیره.(یعنی با توجه به ورودی بیاد یه صفحه‌ای رو توی webview باز کنه)
اگر این ورودی به‌درستی چک و اعتبارسنجی نشه، هکر می‌تونه:

📍 لینک دلخواه رو داخل WebView بارگذاری کنه
📍 جاوااسکریپت مخرب رو اجرا کنه
📍 توکن‌های کاربر رو بدزده از طریق xss داخل سایت
📍 با اجرا جاوااسکریپت مخرب API های داخلی رو دسترسی پیدا کنه (RCE)
📍 فایل‌ها رو لو بده file:// و چچیزهای دیگه
📍 یا حتی با زنجیره‌ای از exploit ها، اپ رو کامل کنترل کنه!

💥 علت این خطر اینه که WebView مثل مرورگر داخل اپ اجرا میشه و کلی از داده‌ها و سطح دسترسی‌های اپ رو به اشتراک داره، اما توسعه‌دهنده معمولاً بهش به چشم فقط یک نمایشگر وب نگاه می‌کنه.

📌 نتیجه:
حتی چیزهایی که به نظر ساده میان (مثل باز کردن یک لینک در داخل اپ)، اگر درست محافظت نشن، می‌تونن به نقاط ورودی خطرناک برای هکرها تبدیل بشن.

📘لینک کامل مقاله:
https://djini.ai/intro-to-android-webviews-and-deep-links-and-how-to-exploit-them/

@androidSec_fa