为何无法确切判断网站是否以PWA运行？背后有何安全风险？

核心原因：PWA的设计初衷 #

PWA的核心目标就是让Web应用体验尽量对齐原生应用，但又不刻意割裂它和普通网页的边界。浏览器故意不提供官方的判断方式，是为了强化一个理念：不管用户是在标签页打开，还是装成PWA独立运行，应用的核心功能、安全标准都得保持一致，不能因为运行环境不一样就搞功能区别对待。

背后的安全风险 #

如果真给了官方的可靠判断API，会带来几个实打实的安全问题：

• 钓鱼攻击风险放大：恶意网站可以检测到用户是在普通标签页打开，就伪装成“必须安装PWA才能用核心功能”，诱骗用户安装恶意应用；或者反过来，在PWA环境下假造信任标识，骗取用户的密码、银行卡等敏感信息。
• 违背渐进增强原则：部分开发者可能会过度依赖这个判断，为普通网页阉割核心功能，导致未安装PWA的用户无法获得完整体验，这完全背离了PWA“让所有用户都能拿到基础可用体验”的设计初衷。
• 加剧生态碎片化：不同浏览器对“PWA运行状态”的定义可能存在分歧，统一的判断API反而会放大兼容性差异，让开发者不得不花费额外精力适配不同浏览器的判断逻辑。

现有变通方法的局限性 #

你提到的几种方法，本质都是利用浏览器的环境副作用而非官方标准API，所以天生存在局限性：

• window.matchMedia('(display-mode: standalone)').matches：这个媒体查询是用来检测显示模式的，并非专门判断PWA。当PWA启用全屏模式时，display-mode会切换为fullscreen，自然无法匹配standalone，它从设计上就不是用来做PWA判断的。
• window.navigator.standalone || document.referrer.includes('android-app://')：navigator.standalone是Safari/iOS WebView的私有属性，android-app://是安卓Chrome的跳转标识，这些都是厂商专属实现，没有跨平台通用性，PC端没有对应的标识，因此完全失效。

是因为PWA还不成熟吗？ #

并不是。PWA的核心技术（Service Worker、Web App Manifest、HTTPS要求）已经稳定多年，浏览器不提供判断API是主动的设计选择，而非技术不成熟。浏览器更希望开发者专注于应用本身的功能实现，通过渐进增强的方式适配不同环境，而非依赖运行环境的判断来做功能分支。

内容的提问来源于stack exchange，提问作者Raad Altaie