禁用 WebView 不仅是功能问题，也是安全风险

两层后果

功能层：立即可见

应用内网页白屏、内嵌登录失败、游戏内商店打不开、二维码扫不出来……这些都在前 快速上手分组 里讲过了。

安全层：隐形但致命

把 WebView 锁在旧版本（比如卸载更新回出厂版本）意味着：

• Chromium 月更里修复的 CVE（Use-after-free、Type Confusion、跨源隔离绕过等）仍然有效
• 任何能触发 WebView 的应用（广告 SDK、第三方登录、游戏商店页）都可能成为攻击入口
• 攻击不需要用户主动打开浏览器——后台静默触发 WebView 渲染就够了

一个真实案例

2024 年 CVE-2024-21626（Chromium 容器逃逸漏洞）：理论上可以通过恶意网页获取宿主机容器外的权限。Google 在 Chromium M122 修复了这个漏洞，但 WebView 版本号低于 122 的设备（也就是 2024 年 3 月前的 WebView）全部受影响。

更重要的是：攻击载体很隐蔽——广告 SDK 加载的第三方网页、App 内嵌的活动页、甚至分享来的短链（在 App 内打开）都可能藏恶意 payload。普通用户根本无法预判哪些页面在背后偷偷调 WebView。

为什么普通应用不会这样

独立浏览器（Chrome、Firefox）虽然功能完整，但你至少知道自己在打开什么网页。WebView 是被宿主 App 调用的，用户几乎看不到任何视觉提示——它可能在后台渲染某个你完全没意识到的广告或活动页面。

正确的做法

• 保持 WebView 更新 —— Google Play / 厂商应用市场里检查更新，至少保证版本号跟上 Chromium 大版本（别差 3 个大版本以上）
• 不要卸载更新回出厂版本 —— 那里面可能有半年前没修的漏洞
• 不要安装来源不明的 WebView APK —— 第三方市场的 APK 签名对不上、或被二次打包注入恶意代码
• HarmonyOS NEXT 用户 —— 虽然不用 Chromium，但 ArkWeb 也需要跟着系统 OTA 更新

→ 返回 安全机制总览