@fydpfg 这里提到的“恶意 app 内嵌一个淘宝网页，唤起你的支付宝来登录淘宝，甚至唤起你的支付宝来登录支付宝网页版”，实际上从 webview 拉起淘宝/支付宝/微信登录后，并不能回到原来的 app ，而是限制了只能回到 safari （即：app webview -> 拉起淘宝/支付宝/微信 -> 完成登录 -> 跳转 safari 打开 callback url ）。和这个案例里的风险不完全一样。

不过现在各大网站在推广 passkeys ，这个案例的攻击手法也适用于 passkeys ，利用隐匿 webview 拉起 passkeys 登录，然后偷 cookie 。
其实本质上这个行为和“在不信任的 webview 里输入用户名密码”一样，正常人在看到一个不信任的 app 向自己索要密码，是有防范意识的；但是把这个索要密码的行为换成索要一次 face id 扫脸，就很有迷惑性了，因为 face id 扫脸行为是在系统级弹窗进行的，会给人“很安全”的感觉。