Android Webview：禁用CORS

Question

Android是否允许本机应用程序禁用超文本传输协议的CORS安全策略：//（不是本地/文件）请求？

在我的本机应用程序中，web视图通过 http:// 显示远程html，而不是在本地/文件系统上。这似乎与在网络浏览器中一样受到 CORS 限制。

Worakround：一个本机js桥，用于将ajax请求发送到没有Access-Control-Allow-Origin：*的跨域。（jsonp或服务器端代理不是一个选项，因为Web服务会检查客户端的cookie ip。）

是否可以为应用内 Web 视图禁用此策略？

如果有一个简单的标志允许js绕过这个限制，限制“原生”应用程序的webview，请告诉我。

Answer 1

以下是帮助我在Xamarin中使用c#的简短版本：

    public override WebResourceResponse ShouldInterceptRequest(WebView view, IWebResourceRequest request)
    {
        if (request.Url.SchemeSpecificPart.StartsWith("//<domain>/"))
        {
            request.RequestHeaders.Add("Access-Control-Allow-Origin", "*");
        }

        return base.ShouldInterceptRequest(view, request);
    }

此覆盖是针对Android.Webkit完成的。WebViewClient，其中

Answer 2

AFAIK这是不可能的，相信我，我已经尝试了很多方法。

您能做的最好的事情就是覆盖资源加载。请参阅拦截和覆盖来自WebView的HTTP请求

Answer 3

从Android API 21级开始，这是可能的。您可以创建OPTIONS响应，如下所示：

public class OptionsAllowResponse {
    static final SimpleDateFormat formatter = new SimpleDateFormat("E, dd MMM yyyy kk:mm:ss", Locale.US);

    @TargetApi(21)
    static WebResourceResponse build() {
        Date date = new Date();
        final String dateString = formatter.format(date);

        Map<String, String> headers = new HashMap<String, String>() {{
            put("Connection", "close");
            put("Content-Type", "text/plain");
            put("Date", dateString + " GMT");
            put("Access-Control-Allow-Origin", /* your domain here */);
            put("Access-Control-Allow-Methods", "GET, POST, DELETE, PUT, OPTIONS");
            put("Access-Control-Max-Age", "600");
            put("Access-Control-Allow-Credentials", "true");
            put("Access-Control-Allow-Headers", "accept, authorization, Content-Type");
            put("Via", "1.1 vegur");
        }};

        return new WebResourceResponse("text/plain", "UTF-8", 200, "OK", headers, null);
    }
}

，然后从您的 Web 视图客户端实现中调用它，如下所示：

    @Override
    @TargetApi(21)
    public WebResourceResponse shouldInterceptRequest(WebView view, WebResourceRequest request) {
        if (request.getMethod().equalsIgnoreCase("OPTIONS")) {
            return OptionsAllowResponse.build();
        }

        return null;
    }

这仅适用于API级别21，因为OPTIONS响应需要从WebResourceRequest检查请求的HTTP方法，该方法仅在API 21之后可用。