WKWebView中CORS限制问题的解决方案咨询

第一个问题：服务器添加CORS响应头的思路是否正确？ #

这个思路完全正确，但需要补充两个关键细节：

1. 服务器必须单独处理OPTIONS预检请求，返回200 OK状态码——因为WebView发送预检请求时不会携带Authorization头，服务器不能对OPTIONS请求做权限校验，这正是你收到401的核心原因。
2. 你给出的响应头配置可以覆盖需求：
   • Access-Control-Allow-Origin: *：允许包括file://本地资源在内的所有源发起跨域请求
   • Access-Control-Allow-Methods: GET, OPTIONS：明确允许实际请求方法（此处为GET）和预检专用的OPTIONS方法
   • Access-Control-Allow-Headers: Authorization：告知WebView可以携带Authorization头发起请求

推动服务器方按此配置修改即可解决预检401的问题。

第二个问题：无需修改服务器，让WKWebView信任file://的安全域名？ #

file://协议在WKWebView中属于特殊本地源，浏览器安全机制默认对其施加了严格的跨域限制，没有直接API可以让WKWebView“信任”file://并绕过CORS校验。不过有两种可行的替代方案：

方案1：用本地HTTP服务器托管本地内容 #

把设备本地的静态文件通过轻量本地HTTP服务器（比如GCDWebServer）托管，让WKWebView加载http://localhost:端口/xxx这类HTTP地址。

• 优势：HTTP源属于标准安全源，跨域请求的CORS逻辑和普通网页完全一致，无需额外配置
• 实现成本低：GCDWebServer仅需几行代码就能启动，自动处理本地文件路由

方案2：自定义URL协议（WKURLSchemeHandler） #

在iOS 11及以上版本，使用WKURLSchemeHandler自定义专属协议（比如myapp://），将本地文件内容通过自定义协议返回给WKWebView：

1. 实现WKURLSchemeHandler协议，在webView:startURLSchemeTask:方法中读取本地文件并返回内容
2. 在WKWebView的配置中注册自定义协议：configuration.setURLSchemeHandler(self, forURLScheme: "myapp")
3. 用myapp://协议加载本地内容，此时WebView会将自定义协议视为合法源，跨域请求限制会大幅降低

这两种方案都不需要修改第三方服务器，就能绕过file://带来的CORS问题。

内容的提问来源于stack exchange，提问作者Rudedog