前言
本文主要记录下再逆向研究 QQ 浏览器的网络拦截中，QQ 浏览器是如何同步 WkWebView 和原生的 cookie 。
为什么需要同步 cookies？
在 WebKit 内核中，网络请求是在一个独立的进程中进行的，WebKit 内核中有一套自己的 cookie 机制。在 iOS 原生也有一套 cookie 的管理机制 NSHTTPCookieStorage。由于 WebKit cookie 和 原生 cookie 是 2 套相互独立的机制，他们之间的 cookie 并不同步。当我们通过 NSURLProtol 拦截 WebKit 的网络请求时，网络请求所产生的相关 cookie，就都存储在 NSHTTPCookieStorage，而 NSHTTPCookieStorage 并不会和 WebKit 的 cookie 进行同步，这就导致了在 js 会无法通过 document.cookie 获取到相关的 cookie。并且， js 设置的 cookie 是存储在 WebKit cookie 中，原生发起网络请求时，也获取不到这部分 cookie。
因此，我们需要通过某种机制，将 WebKit cookies 和 NSHTTPCookieStorage 中的 cookies 进行同步。
QQ 浏览器的 Cookie 同步思路
同步 WebKit cookie 到 原生 cookie
通过研究 qq 浏览器的 cookie 同步的 js 代码，发现其主要是通过 hook js 中的 Documment.cookie 的 set 和 get 方法进行同步。具体代码如下：
Object.defineProperty(document, 'cookie', {
get: function() {
// 从 cookie list 中取出 cookie
var cookieList = cookieNameAndValueList();
return cookieList;
},
set: function(cookieString) {
if (typeof cookieString !== 'string') {
return;
}
// 将 cookie 存储到 cookie List 中
getCookieAndAddToCookieListFromString(cookieString);
var message = {};
message['cookie'] = cookieString;
// 将 cookie 发送给原生
__QB_Cookie_Handle__.postMessage(message);
},
configurable: true
});
整体思路是通过 hook Documment.cookie 的 set 和 get 方法，自己维护一个 cookie 列表，当设置新的 cookie 时，会将新的 cookie 存储在自己维护的 cookie 列表中，并通过 postMessage 将 cookie 同步给原生。当获取 cookie 时，会从自己维护的 cookie 列表中取值返回。
同步原生 cookie 到 WebKit cookie
QQ 浏览器会检查到原生的 HTTP response 的 header ，如果有 Set-Cookie 字段，会通过通知的方式，调用 [MttWKWebView qbSetCookie:] 方法，在该方法中，会执行下列的 js 语句
if (window.qb_Notify){
qb_Notify('seewo.com','csrfToken=WXcGJ7BxBBNb05gDICx6KNk8; path=/')
}
调用了 qb_Notify 方法，将 cookie 同步给 WebKit 中，而 qb_Notify 的具体实现如下：
window['qb_Notify'] = function(host, cookieString) {
// 判断是否数据同一个域名下的 cookie
if (isSuffix(document.location.hostname, host)) {
if (typeof cookieString == 'string') {
// 如果有多个 cookie，会根据 , 分割
var cookieStringList = cookieString.split(',');
var length = cookieStringList.length;
if (length > 0) {
for (var index = 0; index < length; index++) {
var cookieString = cookieStringList[index];
// 由于 cookie 的 Expires 设置为 Expires=Wed, 21 Oct 2015 07:28:00 GMT; 里面也包含了了 「,」，
//所以如果判断匹配到的 cookieString 里面包含了 Sun 等字段，则将当前字段和下一个字段进行组合，形成一个完整的 cookie
if (cookieString.match(/=Sun|=Mon|=Tue|=Wed|=Thu|=Fri|=Sat/) == null && (index < length - 1)) {
// 将 cookie String 转换成 obj 后，保存到自己维护的 cookie list 中
saveCookieStringToList(cookieString);
} else {
saveCookieStringToList(cookieString + ',' + cookieStringList[index + 1]);
index++;
}
}
}
}
}
// 将 cookie 同步给所有的 subFrame
var subFrames = document.querySelectorAll('iframe');
if (!subFrames) {
return;
}
var length = subFrames.length;
var index;
if (length > 0) {
for (index = 0; index < length; index++) {
var message = {};
message['syss_info'] = host;
message['sck_info'] = cookieString;
subFrames[index].contentWindow.postMessage(message, '*');
}
}
};
qb_Notify 的会分析从原生获取到的 cookie string，然后保存在自己维护的 cookie 列表。并将 cookie 同步给所有的 subFrame。
综上所诉，在 QQ 浏览器中，通过 hook document set 方法的方式，将在 js 中设置的 cookie 同步到 原生上。
通过在 js 中注入 qb_Notify 方法，当原生监听到请求的 response 中带有 Set-Cookie 字段时，原生直接调用已经注入的 qb_Notify 方法，将 cookie 同步给 Webkit。
manFrame 的 cookie 同步
通过上面的解析，WebKit cookie 和原生的 cookie 已经能够同步了。但是还有一个边界条件缺少考虑。
我们先理清一下整个流程。如下图所示：
从上图中我们可以看到，当如果 main frame 的 response 是带有 set-Cookie 字段时，按照逻辑，会尝试调用 qb_Notify，但是由于此时 main frame 还没有被 WebKit 加载， qb_Notify 实际上还没有注入到 js 中，所以此时是没有办法通过 qb_Notify 将原生 cookie 同步给 WebKit，为了解决这个问题， QQ 浏览器在 cookie 同步相关的 js 执行时，在 js 层会主动发起一个特殊的网络请求，原生拦截到这个特殊的网络请求后，会返回这个特殊网络请求中指定的 url 的 cookie，具体代码如下：
function() {
function asyncGetCookieFromNative(A) {
/**
* 忽略部分代码
*/
}
function syncGetCookieFromNative(B) {
var reqeust = new XMLHttpRequest();
if (reqeust != null) {
reqeust.open('GET', B, false);
reqeust.send();
if (reqeust.status == 200) {
var responseText = reqeust.responseText;
if (typeof responseText == 'undefined' || responseText.length == 0) {
return;
}
var cookieList = JSON.parse(responseText);
if (typeof cookieList === 'object') {
addCookieList(cookieList);
}
}
}
}
function getCookieFromNative(isAsync) {
var protocol = document.location.protocol;
var host = document.location.host;
if (typeof protocol !== 'string' || typeof host !== 'string') {
return;
}
// 创建一个特殊的网络请求，网络请求后面携带了当前的网页的 href 地址
if (isAsync) {
asyncGetCookieFromNative(protocol + '//' + host + '/9CB4F2575FDD4C5BA05A63E96FC96E70/?' + document.location.href);
} else {
syncGetCookieFromNative(protocol + '//' + host + '/9CB4F2575FDD4C5BA05A63E96FC96E70/?' + document.location.href);
}
}
/**
* 忽略部分代码
*/
getCookieFromNative(false);
} ()
由于原生会拦截 WebKit 的所有网络请求，所以当 WebKit 发起的带有特殊字符(9CB4F2575FDD4C5BA05A63E96FC96E70)被原生拦截到时，原生可以直接获取到 search 中的 url，通过 url 在 NSHTTPCookieStorage 中获取到 cookies 后，在通过 response 返回给 Webkit。从而达到 WebKit 主动先原生拉取 cookie 的目的。
