如何配置CSP及安全头，允许特定iOS/Android应用通过WebView嵌入Web应用？

CSP的frame-ancestors指令只能管控Web端的嵌入源（比如某网站域名），没法直接识别原生App的WebView。不过你可以用下面几种方法实现类似的“只允许特定App嵌入”的效果：

自定义请求令牌验证 #

让允许嵌入的原生WebView在加载你的Web应用时，带上一个专属的自定义请求头（比如X-App-Auth-Token: 你的唯一令牌）。然后在你的Web应用后端或者CDN层加校验逻辑：

• 检查请求里有没有这个头，且令牌值和你预先约定的一致
• 不匹配的话直接返回403禁止访问

举个Nginx配置的例子：

if ($http_x_app_auth_token != "your_secure_unique_token") {
    return 403;
}

Android端：包名+签名校验 #

Android的WebView可以通过WebViewClient的shouldInterceptRequest方法，把App的包名和签名哈希通过请求头或参数传给你的服务。你需要：

• 提前收集允许嵌入的App的包名和签名哈希（用Android Studio的签名工具就能拿到）
• 后端把收到的信息和预存的合法列表比对，验证通过才放行

iOS端：Bundle ID校验 #

iOS的WKWebView可以把自身的Bundle ID（通过Bundle.main.bundleIdentifier获取）加到请求头里，后端预设好允许的Bundle ID列表，收到请求后比对即可。不匹配就拒绝访问。

同时支持Web源和原生App #

如果既要允许指定网站嵌入，又要允许特定App的WebView，你可以：

• 保留frame-ancestors的配置来管控Web端
• 同时加上上面的自定义验证逻辑，放行合法的原生App请求

提醒一下：这些方案都需要对应的原生App配合修改WebView的请求逻辑，而且后端校验要做好安全防护——比如令牌别明文传，一定要用HTTPS；签名哈希和Bundle ID的校验逻辑要避免被恶意篡改。

内容的提问来源于stack exchange，提问作者Victor