iOS WebKit中allowFileAccessFromFileURLs可用性、安全性及审核咨询

问题背景 #

通过WKWebView加载Bundle内webmap目录下的index.html时，出现跨域错误：

'Origin null is not allowed by Access-Control-Allow-Origin. Status code: 0'
导致图片等本地资源无法加载。原加载代码如下：

if let url = Bundle.main.url(forResource: "index", withExtension: "html", subdirectory: "webmap") {
    self.webkit.loadFileURL(url, allowingReadAccessTo: url)
}

使用未文档化的偏好设置allowFileAccessFromFileURLs暂时解决了问题：

self.webkit.configuration.preferences.setValue(true, forKey: "allowFileAccessFromFileURLs")

1. 版本兼容性问题 #

这个未公开的键没有官方版本支持说明，行为在不同iOS版本中不稳定：

• iOS17.2测试有效，但iOS15.6等旧版本可能无效，甚至可能因为系统权限逻辑变更，导致设置后无任何效果，或引发其他未知问题。
• Apple随时可能在系统更新中移除或修改这个键的作用，没有任何兼容性保障。

2. 安全性风险 #

启用这个设置会绕过WKWebView默认的文件访问沙箱限制，允许网页中的JavaScript访问本地文件系统的其他资源，存在以下风险：

• 如果网页包含不可控的第三方脚本，可能导致本地敏感文件被读取或篡改。
• 系统版本更新后，该设置可能触发新的安全机制，导致应用崩溃或被系统限制运行。

3. App Store审核风险 #

Apple的审核指南明确禁止使用未公开的API、私有属性或未文档化的设置：

• 虽然部分未文档化的偏好设置可能暂时逃过自动检测，但一旦被审核人员发现，应用会直接被拒绝。
• 即使通过审核，后续版本更新或Apple加强审核检测时，应用依然可能因为这个原因被拒，同时系统更新导致功能失效的概率极高，会严重影响用户体验。

推荐替代方案 #

方案一：使用本地HTTP服务器（最可靠）

通过轻量HTTP服务器（如GCDWebServer）将本地web资源以HTTP协议加载，彻底避免跨域问题，完全符合Apple规范，所有iOS版本兼容：

import GCDWebServer

class WebViewController: UIViewController {
    private let webServer = GCDWebServer()
    @IBOutlet weak var webkit: WKWebView!

    override func viewDidLoad() {
        super.viewDidLoad()
        // 配置本地服务器
        guard let webDir = Bundle.main.path(forResource: "webmap", ofType: nil) else { return }
        webServer.addGETHandler(forBasePath: "/", directoryPath: webDir, indexFilename: "index.html", cacheAge: 0, allowRangeRequests: true)
        // 启动服务器
        webServer.start(withPort: 8080, bonjourName: nil)
        // 加载本地服务器地址
        if let url = URL(string: "http://localhost:8080") {
            webkit.load(URLRequest(url: url))
        }
    }

    deinit {
        webServer.stop()
    }
}

方案二：调整资源引用路径

确保HTML中所有资源都使用相对路径（如./icon_flag_my.png而非绝对路径），但该方案仅适用于简单静态网页，对包含动态资源加载的复杂Web项目效果有限。

内容的提问来源于stack exchange，提问作者KimJitae