Secure PDF Viewer

pdf.js とコンテンツ プロバイダーに基づくシンプルな Android PDF ビューア。アプリには権限は必要ありません。 PDF ストリームは、ネットワーク、ファイル、コンテンツ プロバイダー、またはその他のデータへのアクセスを許可せずに、サンドボックス化された WebView にフィードされます。

Content-Security-Policy は、pdf.js 自体がそれらのレンダリングを処理するため、WebView 内の JavaScript およびスタイル設定プロパティが APK アセットからの完全に静的コンテンツであることを強制するために使用され、カスタム フォントをブロックします。

強化された Chromium レンダリング スタックを再利用しますが、実際の Web コンテンツと比較して攻撃対象領域のごく一部のみを公開します。 PDF レンダリング コード自体は、動的コード評価が無効になっているためメモリ セーフです。また、攻撃者が基盤となる Web レンダリング エンジンを悪用してコードを実行できたとしても、攻撃者は Chromium レンダラー サンドボックス内に存在し、ブラウザ内よりもアクセスが少なくなります。