模块模式本身不提供安全验证能力，真正起作用的是在模块封装基础上对原生桥接通道实施分层校验、可信执行控制、通道完整性保护及灰度熔断机制。
模块模式本身不直接提供安全验证能力，它只是组织代码的结构方式。真正起作用的是在模块封装基础上，对原生桥接通道实施分层校验与可信执行控制。
明确桥接入口的模块化收口
所有 JS 侧调用原生能力，必须通过统一的模块接口（如 NativeBridge），禁止直接调用 window.native 或全局函数。该模块应具备：
- 方法白名单机制：只暴露预定义的、已评审通过的原生能力（如 getLocation、requestCameraPermission）
- 参数 Schema 校验：使用 JSON Schema 对传入参数做结构与类型检查，拦截非法字段或超长字符串
- 调用上下文标记：自动注入来源页面路径、调用时间戳、会话 ID，用于后续审计追踪
原生侧实现可信代理模块
在 Android/iOS/WinUI3 等宿主中，不将 JS 调用直通系统 API，而是由一个独立的“安全代理模块”承接。该模块需：
- 权限动态裁决：根据当前用户角色、应用状态、设备环境（如是否越狱/root）实时判断是否放行请求
- 敏感操作二次确认：对定位、相册、麦克风等高风险调用，强制触发原生弹窗并绑定业务上下文（例如：“订单支付需要访问位置，请确认”）
- 签名双向验证：JS 请求携带轻量级 HMAC-SHA256 签名，原生侧用共享密钥验证；响应也签名回传，防止中间篡改
运行时通道完整性保护
模块模式需配合底层通信链路加固，避免被劫持或伪造：
- WebView 初始化后立即注册唯一桥接 Token，并绑定到 JSRuntime 实例生命周期，Token 失效即拒绝后续调用
- 禁用 eval、Function 构造器等动态执行能力，在 WebView 配置中关闭 JavaScript 开启调试的危险选项
- 对 iOS 的 WKWebView 和 Android 的 WebView，启用 Content Security Policy（CSP）限制脚本来源，仅允许 bundle 内资源执行
灰度与熔断模块嵌入验证流
把安全验证本身做成可插拔模块，支持按场景启用：
- 开发阶段：开启全量日志 + 参数快照，记录每次桥接调用的原始 payload 与响应
- 灰度发布：对 5% 用户启用严格校验（如生物特征二次授权），其余走基础流程
- 异常熔断：当某类桥接调用在 1 分钟内失败率超 30%，自动降级为本地模拟返回或抛出受限错误码
