① Plugin4JSApiPermission → invocation.permit
② H5JSCallPermissionChecker → 新权限系统(远程配置)
③ H5JSApiPermission → 旧权限系统(本地配置)
④ checkUrl:matchSecurityLevel: → 白名单匹配
aliWhitelist regex:
(.*\.)?(alipay)\.(com|...)$ — 无^锚点!
btalipay.com 匹配:
✅ aliWhitelist (level_medium+) 通过
rpcWhitelist regex:
^https://.*[.](alipay|...)[.]com$ — 需要点前缀
btalipay.com RPC:
❌ rpcWhitelist 不匹配 (无点前缀)