### ① 组件是什么 本组件在组件 2 Hybrid/WebView 混合架构基础上，聚焦两条具体伤害面：XSS（页面脚本注入）与本地文件读取。 WebView 容器加载远程 H5 页面，页面内 JavaScript 经 JSBridge 调用原生能力。 当页面内容未经转义直接拼进 DOM，或桥把页面 DOM 里的文本内容当成执行指令，注入脚本就在页面上下文获得执行权，再经桥读本地文件、调原生能力。 `file://` 协议是另一条边界。本地 HTML 页面与 file 源被赋予过高权限，远程页面被允许访问本地文件域，两类源之间的同源隔离被主动拆掉。 组件 2 讲桥的整体暴露面。本组件只讲脚本注入成立条件、file 信任边界错配与文件读取面，不给投毒页面代码。 ### ② 语言与 C 库 H5 用 HTML/CSS/JavaScript，原生壳用 Java/Kotlin/Swift/Objective-C，桥由原生实现。 远程页面经 `socket()`（册 2 sys/socket.h 章）下载，注入脚本随页面在 WebView 引擎内执行。 桥响应文件读取请求时