支付宝是如何保证 webview 中防止 js 注入的呢？

[fkdog]

比如一些第三方 app 接入了支付宝 sdk，如果手机上没安装支付宝，那么会打开一个 webview （而不是跳转到系统浏览器）去请求 wap 端支付宝完成支付流程。

这个 wap 端的支付宝是怎么保证这个 webview 是否安全可信的呢（因为 webview 是可以注入任意 js 的）？