前言
本文主要記錄下再逆向研究 QQ 瀏覽器的網(wǎng)絡(luò)攔截中百宇，QQ 瀏覽器是如何同步 WkWebView 和原生的 cookie 。
為什么需要同步 cookies秘豹？
在 WebKit 內(nèi)核中携御，網(wǎng)絡(luò)請(qǐng)求是在一個(gè)獨(dú)立的進(jìn)程中進(jìn)行的，WebKit 內(nèi)核中有一套自己的 cookie 機(jī)制。在 iOS 原生也有一套 cookie 的管理機(jī)制 NSHTTPCookieStorage因痛。由于 WebKit cookie 和 原生 cookie 是 2 套相互獨(dú)立的機(jī)制婚苹，他們之間的 cookie 并不同步。當(dāng)我們通過 NSURLProtol 攔截 WebKit 的網(wǎng)絡(luò)請(qǐng)求時(shí)鸵膏，網(wǎng)絡(luò)請(qǐng)求所產(chǎn)生的相關(guān) cookie膊升，就都存儲(chǔ)在 NSHTTPCookieStorage，而 NSHTTPCookieStorage 并不會(huì)和 WebKit 的 cookie 進(jìn)行同步谭企，這就導(dǎo)致了在 js 會(huì)無法通過 document.cookie 獲取到相關(guān)的 cookie廓译。并且， js 設(shè)置的 cookie 是存儲(chǔ)在 WebKit cookie 中债查，原生發(fā)起網(wǎng)絡(luò)請(qǐng)求時(shí)非区，也獲取不到這部分 cookie。
因此盹廷，我們需要通過某種機(jī)制征绸，將 WebKit cookies 和 NSHTTPCookieStorage 中的 cookies 進(jìn)行同步。
QQ 瀏覽器的 Cookie 同步思路
同步 WebKit cookie 到 原生 cookie
通過研究 qq 瀏覽器的 cookie 同步的 js 代碼俄占，發(fā)現(xiàn)其主要是通過 hook js 中的 Documment.cookie 的 set 和 get 方法進(jìn)行同步管怠。具體代碼如下：
Object.defineProperty(document, 'cookie', {
get: function() {
// 從 cookie list 中取出 cookie
var cookieList = cookieNameAndValueList();
return cookieList;
},
set: function(cookieString) {
if (typeof cookieString !== 'string') {
return;
}
// 將 cookie 存儲(chǔ)到 cookie List 中
getCookieAndAddToCookieListFromString(cookieString);
var message = {};
message['cookie'] = cookieString;
// 將 cookie 發(fā)送給原生
__QB_Cookie_Handle__.postMessage(message);
},
configurable: true
});
整體思路是通過 hook Documment.cookie 的 set 和 get 方法，自己維護(hù)一個(gè) cookie 列表缸榄，當(dāng)設(shè)置新的 cookie 時(shí)渤弛，會(huì)將新的 cookie 存儲(chǔ)在自己維護(hù)的 cookie 列表中，并通過 postMessage 將 cookie 同步給原生甚带。當(dāng)獲取 cookie 時(shí)她肯，會(huì)從自己維護(hù)的 cookie 列表中取值返回。
同步原生 cookie 到 WebKit cookie
QQ 瀏覽器會(huì)檢查到原生的 HTTP response 的 header 鹰贵，如果有 Set-Cookie 字段晴氨，會(huì)通過通知的方式，調(diào)用 [MttWKWebView qbSetCookie:] 方法碉输，在該方法中瑞筐，會(huì)執(zhí)行下列的 js 語句
if (window.qb_Notify){
qb_Notify('seewo.com','csrfToken=WXcGJ7BxBBNb05gDICx6KNk8; path=/')
}
調(diào)用了 qb_Notify 方法，將 cookie 同步給 WebKit 中腊瑟，而 qb_Notify 的具體實(shí)現(xiàn)如下：
window['qb_Notify'] = function(host, cookieString) {
// 判斷是否數(shù)據(jù)同一個(gè)域名下的 cookie
if (isSuffix(document.location.hostname, host)) {
if (typeof cookieString == 'string') {
// 如果有多個(gè) cookie聚假，會(huì)根據(jù) , 分割
var cookieStringList = cookieString.split(',');
var length = cookieStringList.length;
if (length > 0) {
for (var index = 0; index < length; index++) {
var cookieString = cookieStringList[index];
// 由于 cookie 的 Expires 設(shè)置為 Expires=Wed, 21 Oct 2015 07:28:00 GMT; 里面也包含了了 「,」，
//所以如果判斷匹配到的 cookieString 里面包含了 Sun 等字段闰非，則將當(dāng)前字段和下一個(gè)字段進(jìn)行組合膘格，形成一個(gè)完整的 cookie
if (cookieString.match(/=Sun|=Mon|=Tue|=Wed|=Thu|=Fri|=Sat/) == null && (index < length - 1)) {
// 將 cookie String 轉(zhuǎn)換成 obj 后，保存到自己維護(hù)的 cookie list 中
saveCookieStringToList(cookieString);
} else {
saveCookieStringToList(cookieString + ',' + cookieStringList[index + 1]);
index++;
}
}
}
}
}
// 將 cookie 同步給所有的 subFrame
var subFrames = document.querySelectorAll('iframe');
if (!subFrames) {
return;
}
var length = subFrames.length;
var index;
if (length > 0) {
for (index = 0; index < length; index++) {
var message = {};
message['syss_info'] = host;
message['sck_info'] = cookieString;
subFrames[index].contentWindow.postMessage(message, '*');
}
}
};
qb_Notify 的會(huì)分析從原生獲取到的 cookie string财松，然后保存在自己維護(hù)的 cookie 列表瘪贱。并將 cookie 同步給所有的 subFrame纱控。
綜上所訴，在 QQ 瀏覽器中菜秦，通過 hook document set 方法的方式甜害，將在 js 中設(shè)置的 cookie 同步到 原生上。
通過在 js 中注入 qb_Notify 方法球昨，當(dāng)原生監(jiān)聽到請(qǐng)求的 response 中帶有 Set-Cookie 字段時(shí)尔店，原生直接調(diào)用已經(jīng)注入的 qb_Notify 方法，將 cookie 同步給 Webkit主慰。
manFrame 的 cookie 同步
通過上面的解析嚣州，WebKit cookie 和原生的 cookie 已經(jīng)能夠同步了。但是還有一個(gè)邊界條件缺少考慮共螺。
我們先理清一下整個(gè)流程该肴。如下圖所示：
從上圖中我們可以看到，當(dāng)如果 main frame 的 response 是帶有 set-Cookie 字段時(shí)藐不，按照邏輯匀哄，會(huì)嘗試調(diào)用 qb_Notify，但是由于此時(shí) main frame 還沒有被 WebKit 加載雏蛮， qb_Notify 實(shí)際上還沒有注入到 js 中拱雏，所以此時(shí)是沒有辦法通過 qb_Notify 將原生 cookie 同步給 WebKit，為了解決這個(gè)問題底扳， QQ 瀏覽器在 cookie 同步相關(guān)的 js 執(zhí)行時(shí)，在 js 層會(huì)主動(dòng)發(fā)起一個(gè)特殊的網(wǎng)絡(luò)請(qǐng)求贡耽，原生攔截到這個(gè)特殊的網(wǎng)絡(luò)請(qǐng)求后衷模，會(huì)返回這個(gè)特殊網(wǎng)絡(luò)請(qǐng)求中指定的 url 的 cookie，具體代碼如下：
function() {
function asyncGetCookieFromNative(A) {
/**
* 忽略部分代碼
*/
}
function syncGetCookieFromNative(B) {
var reqeust = new XMLHttpRequest();
if (reqeust != null) {
reqeust.open('GET', B, false);
reqeust.send();
if (reqeust.status == 200) {
var responseText = reqeust.responseText;
if (typeof responseText == 'undefined' || responseText.length == 0) {
return;
}
var cookieList = JSON.parse(responseText);
if (typeof cookieList === 'object') {
addCookieList(cookieList);
}
}
}
}
function getCookieFromNative(isAsync) {
var protocol = document.location.protocol;
var host = document.location.host;
if (typeof protocol !== 'string' || typeof host !== 'string') {
return;
}
// 創(chuàng)建一個(gè)特殊的網(wǎng)絡(luò)請(qǐng)求蒲赂，網(wǎng)絡(luò)請(qǐng)求后面攜帶了當(dāng)前的網(wǎng)頁的 href 地址
if (isAsync) {
asyncGetCookieFromNative(protocol + '//' + host + '/9CB4F2575FDD4C5BA05A63E96FC96E70/?' + document.location.href);
} else {
syncGetCookieFromNative(protocol + '//' + host + '/9CB4F2575FDD4C5BA05A63E96FC96E70/?' + document.location.href);
}
}
/**
* 忽略部分代碼
*/
getCookieFromNative(false);
} ()
由于原生會(huì)攔截 WebKit 的所有網(wǎng)絡(luò)請(qǐng)求阱冶，所以當(dāng) WebKit 發(fā)起的帶有特殊字符(9CB4F2575FDD4C5BA05A63E96FC96E70)被原生攔截到時(shí)，原生可以直接獲取到 search 中的 url滥嘴，通過 url 在 NSHTTPCookieStorage 中獲取到 cookies 后木蹬，在通過 response 返回給 Webkit。從而達(dá)到 WebKit 主動(dòng)先原生拉取 cookie 的目的若皱。
