POC · UnifyWebView policy trusts page-supplied subFrameUrl

ctl = 真实 origin 直接调用；spf = 伪造 options.subFrameUrl=zoom.us 后的同一调用。 判定：ctl=PolicyCheckFailed 而 spf=其他 ⇒ 第一层策略门被骗过 = VULNERABLE。 结果同时尝试上报 https://localhost:8443/zoom-poc-report（仅模拟器内可达，其他设备忽略）。