基于 pdf.js 和内容提供者的简单 Android PDF 查看器。该应用无需任何权限。PDF 数据流被送入隔离的 WebView，且不给予其访问内容或文件的权限。通过 Content-Security-Policy 确保 WebView 中的 JavaScript 和样式属性完全来自 APK 资源，为静态内容。它复用了经过加固的 Chromium 渲染栈，相比实际网页内容，仅暴露了极小一部分攻击面。PDF 渲染代码本身具备内存安全性，且禁用了动态代码执行功能；即使攻击者通过利用底层网页渲染引擎漏洞获得代码执行权限，其操作也仅限于 Chromium 渲染器沙箱内，无法访问网络（不像浏览器）、文件或其他内容。