跨源请求仅支持 HTTP - WKWebView - Swift

Introduction

在移动应用开发中，如果需要在应用中加载网页内容，可以使用 WKWebView 这个强大的组件。然而，由于安全性的考虑，WKWebView 默认情况下只支持使用 HTTP 协议加载跨源资源，而不支持使用 HTTPS。

本文将向程序员介绍如何在 Swift 中使用 WKWebView 加载跨源 HTTP 资源。我们将涵盖以下内容：

1. 设置 App 的 Info.plist 文件以允许跨源请求。
2. 创建一个简单的 Swift 类来加载和显示 WKWebView。
3. 处理跨源请求时可能遇到的常见问题和解决方案。

注意：在进行此操作之前，确保已经了解并考虑了安全风险，并只允许可信任的跨源资源加载。

1. 允许跨源请求

要在 WKWebView 中加载跨源 HTTP 资源，首先需要在 App 的 Info.plist 文件中添加适当的配置。

打开 Info.plist 文件，并添加以下键值对：

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

上面的配置将禁用所有网络请求的安全限制，包括跨源请求。请谨慎使用此配置，确保只加载来自可信任源的资源。

2. 创建 WKWebView

在项目中创建一个新的 Swift 类，并在其中添加以下代码作为基本模板：

import UIKit
import WebKit

class WebViewController: UIViewController, WKUIDelegate {
    
    var webView: WKWebView!
    
    override func loadView() {
        let webConfiguration = WKWebViewConfiguration()
        webView = WKWebView(frame: .zero, configuration: webConfiguration)
        webView.uiDelegate = self
        view = webView
    }
    
    override func viewDidLoad() {
        super.viewDidLoad()
        
        let myURL = URL(string: "https://example.com")
        let myRequest = URLRequest(url: myURL!)
        webView.load(myRequest)
    }
}

上面的代码创建了一个名为 WebViewController 的视图控制器类，它继承自 UIViewController 并采用 WKUIDelegate 协议。

在 loadView 方法中，我们创建了一个 WKWebView 实例，并将其设置为视图控制器的根视图。在 viewDidLoad 方法中，我们加载并显示了一个简单的跨源 HTTP 网页。

请注意，如果要加载自定义 HTML 内容而不是 URL，可以使用 webView.loadHTMLString 方法。

3. 处理跨源请求问题

在进行跨源请求时，可能会遇到一些常见的问题。以下是几个常见问题及其解决方案：

3.1 CORS (Cross-Origin Resource Sharing) 问题

当从另一个源请求资源时，可能会遇到 CORS 问题。这是因为浏览器默认情况下会实施同源策略，限制跨源资源的访问。

要解决这个问题，服务器必须在响应中包含 CORS 相关的头信息，例如：

Access-Control-Allow-Origin: *

这将允许任何源请求资源。

3.2 证书验证问题

如果服务器使用了自签名证书或无效的证书，可能会遇到证书验证问题。默认情况下，WKWebView 会尝试验证服务器提供的证书。

为了解决这个问题，你可能需要设置 webView.configuration. allowsInvalidSSLCertificate 属性为 true。但这会降低安全性，请谨慎使用。

3.3 防止恶意 JavaScript 访问

跨源请求的另一个重要方面是防止来自跨源页面的恶意 JavaScript 访问主应用程序。

为了防止这种访问，可以注册一个自定义的 WKScriptMessageHandler 来处理从网页发送的消息，并在接收到消息时采取适当的安全措施。

结论

在 Swift 中使用 WKWebView 加载跨源 HTTP 资源可能涉及到一些安全风险和限制，但通过适当的配置和注意事项，可以实现这一目标。

请记住，在进行跨源请求之前，务必了解并考虑安全风险，并只允许加载来自可信任源的资源。