18 lines
1.9 KiB
Markdown
18 lines
1.9 KiB
Markdown
# TPSchedule 0.7.3 独立审查
|
|
|
|
2026-10-15，审查范围为本科完整页恢复、Android会话读取及临时令牌，不含原始学生附件或凭证。审查者仅获得需求、代码位置和验证范围，无本会话历史；未修改源码或运行重复构建。
|
|
|
|
## 发现与处理
|
|
|
|
P2：最初原生最终渲染仅比较WebView实例、URL及Cookie。相同URL、相同Cookie的新文档可能在Flutter最后一次检查和原生渲染之间替换旧文档，旧结果仍可通过检查；取消也未主动失效原生令牌。
|
|
|
|
已增加私有、不可枚举的每文档随机标记，随完整页读取传递；最终渲染先在真实WebView核对标记与URL，回调再检查临时令牌、视图实例、URL、Cookie及桥接生命周期，然后消费令牌并加载。页面开始、关闭、重置和销毁主动失效原生候选；异步渲染增加超时。回归覆盖原生校验等待中取消、相同URL新文档旧标记拒绝。实际脚本测试确认标记在同文档内稳定、跨文档变化，跳转和密码框跳过且不读取私密数据。
|
|
|
|
复审结论：在公开WebView能力与原生接受渲染作为提交点的边界内，该问题已处理，无其他阻塞项。跨进程页面导航与JS验证回调不具备形式上的绝对原子性；本实现不替换插件浏览器客户端，也不使用可能残留脚本全局状态的document.write替换方式。
|
|
|
|
## 验证与限制
|
|
|
|
原生16项JVM回归及API36实际渲染检查通过，实际URL、来源、中文、相对路径脚本/CSS、会话和文档保护均验证。Flutter完整套件265项通过，随后新增的取消渲染回归包含于8项恢复测试并通过，静态检查无问题。新增4个Node脚本中的恢复脚本及此前3个脚本均通过。最终交付详见tpschedule-0.7.3-validation.md。
|
|
|
|
学校真实账户、校园网络与用户手机Chromium156的联调仍由用户复测。离线和模拟器结果不代表线上组件已确认恢复。
|