React Native Android WebView本地资源访问安全问题排查求助

问题背景 #

使用react-native-webview:13.12.5和react-native:0.76.0开发应用时，Android平台下安全检测工具指出setAllowFileAccess、setAllowFileAccessFromFileURLs、setAllowUniversalAccessFromFileURLs、setAllowContentAccess处于启用状态，存在本地资源访问的安全风险。即使在RN代码中显式禁用相关属性，问题仍然存在。

项目SDK配置 #

minSdkVersion = 24
compileSdkVersion = 35
targetSdkVersion = 34

已做的配置尝试 #

在WebView组件中显式设置安全属性为false：

<WebView
    ref={..}
    originWhitelist={...}
    sharedCookiesEnabled={false}
    cacheEnabled={false}
    allowUniversalAccessFromFileURLs={false}
    allowFileAccess={false}
    allowFileAccessFromFileURLs={false}
    startInLoadingState={true}
    renderLoading={...}
    source={{
      uri,
      headers: {....},
    }}
    style={...}
    onNavigationStateChange={event =>
      handleWebViewNavigationStateChange(event)
    }
    onError={e => ....}
    accessibilityLabel="...."
    onResponderStart={res => ....}
    onMessage={
      event => {}
    }
    renderError={....}
  />

可能的排查方向 #

• 检查react-native-webview原生层默认配置：查看node_modules/react-native-webview/android/src/main/java/com/reactnativecommunity/webview/RNCWebViewManager.java文件，确认相关方法是否被默认设置为true，或者是否未正确处理RN传入的props值。
• 排查其他WebView实例：项目中是否存在第三方依赖或其他代码使用了未配置安全属性的WebView，这类实例可能触发检测工具的告警。
• 验证检测工具是否误报：手动测试WebView实际行为，尝试加载本地文件URL，确认是否真的能访问本地资源，以此判断告警是否为误报。
• 适配Target SDK 34：Android 14对WebView权限有更严格的控制，检查react-native-webview版本是否适配targetSdkVersion=34，必要时升级到最新兼容版本。
• 清理构建缓存：执行./gradlew clean清理Android构建缓存，重新编译项目，确保RN层面的配置同步到原生代码中。

内容的提问来源于stack exchange，提问作者Satyam Dodmani