如何在Maui Blazor Hybrid应用WebView(C#)中禁用Web安全/修改响应头

针对你遇到的iframe因X-Frame-Options响应头限制无法显示的问题，可以通过针对不同平台配置WebView底层控件来实现需求，以下是分平台的具体实现方式：

一、禁用Web安全（仅适用于开发调试，生产环境禁止使用） #

禁用Web安全会带来严重的安全风险，仅建议在本地调试时临时使用。

Android平台 #

1. 创建自定义BlazorWebViewHandler和WebViewClient：

using Microsoft.Maui.Handlers;
using Android.Webkit;

namespace YourAppNamespace;

public class CustomBlazorWebViewHandler : BlazorWebViewHandler
{
    protected override void ConnectHandler(Android.Webkit.WebView platformView)
    {
        base.ConnectHandler(platformView);
        // 开启本地文件跨域访问（禁用部分Web安全）
        platformView.Settings.AllowFileAccessFromFileURLs = true;
        platformView.Settings.AllowUniversalAccessFromFileURLs = true;
        // 替换自定义WebViewClient
        platformView.SetWebViewClient(new CustomWebViewClient());
    }
}

public class CustomWebViewClient : WebViewClient
{
    // 可选：拦截请求修改响应头
    public override WebResourceResponse? ShouldInterceptRequest(Android.Webkit.WebView? view, IWebResourceRequest? request)
    {
        var response = base.ShouldInterceptRequest(view, request);
        if (response != null)
        {
            // 移除或修改X-Frame-Options头
            var headers = response.ResponseHeaders;
            headers.Remove("X-Frame-Options");
            headers.Add("X-Frame-Options", "ALLOWALL");
            response.ResponseHeaders = headers;
        }
        return response;
    }
}

2. 在MauiProgram.cs中注册Android平台的自定义Handler：

public static MauiApp CreateMauiApp()
{
    var builder = MauiApp.CreateBuilder();
    builder
        .UseMauiApp<App>()
        .ConfigureFonts(fonts =>
        {
            fonts.AddFont("OpenSans-Regular.ttf", "OpenSansRegular");
        })
        .ConfigureMauiHandlers(handlers =>
        {
#if ANDROID
            handlers.AddHandler<Microsoft.Maui.Controls.BlazorWebView, CustomBlazorWebViewHandler>();
#endif
        });

    builder.Services.AddMauiBlazorWebView();

#if DEBUG
    builder.Services.AddBlazorWebViewDeveloperTools();
    builder.Logging.AddDebug();
#endif

    return builder.Build();
}

iOS平台 #

1. 创建自定义BlazorWebViewHandler和WKURLSchemeHandler：

using Microsoft.Maui.Handlers;
using WebKit;

namespace YourAppNamespace;

public class CustomBlazorWebViewHandler : BlazorWebViewHandler
{
    protected override WKWebViewConfiguration CreateConfiguration()
    {
        var config = base.CreateConfiguration();
        // 禁用Web安全相关限制（仅调试）
        config.Preferences.SetValueForKey(NSObject.FromObject(true), new NSString("allowFileAccessFromFileURLs"));
        config.Preferences.SetValueForKey(NSObject.FromObject(true), new NSString("allowUniversalAccessFromFileURLs"));
        // 添加自定义Scheme Handler拦截请求修改响应头
        config.SetURLSchemeHandler(new CustomURLSchemeHandler(), new NSString("https"));
        return config;
    }
}

public class CustomURLSchemeHandler : NSObject, IWKURLSchemeHandler
{
    public void StartURLSchemeTask(WKWebView webView, IWKURLSchemeTask task)
    {
        var request = task.Request;
        var urlRequest = new NSUrlRequest(request.Url);
        NSUrlSession.SharedSession.DataTaskFactory.CreateTask(urlRequest, (data, response, error) =>
        {
            if (error != null)
            {
                task.DidFailWithError(error);
                return;
            }
            if (response is NSHttpUrlResponse httpResponse)
            {
                // 修改响应头
                var newHeaders = new NSMutableDictionary(httpResponse.AllHeaderFields);
                newHeaders.Remove(new NSString("X-Frame-Options"));
                newHeaders.SetValueForKey(new NSString("ALLOWALL"), new NSString("X-Frame-Options"));
                var modifiedResponse = new NSHttpUrlResponse(request.Url, httpResponse.StatusCode, "HTTP/1.1", newHeaders);
                task.DidReceiveResponse(modifiedResponse);
                task.DidReceiveData(data);
                task.DidFinish();
            }
        }).Resume();
    }

    public void StopURLSchemeTask(WKWebView webView, IWKURLSchemeTask task)
    {
        // 清理资源
    }
}

2. 在MauiProgram.cs的ConfigureMauiHandlers中添加iOS平台的Handler注册：

#if IOS
handlers.AddHandler<Microsoft.Maui.Controls.BlazorWebView, CustomBlazorWebViewHandler>();
#endif

Windows平台 #

1. 创建自定义BlazorWebViewHandler：

using Microsoft.Maui.Handlers;
using Microsoft.Web.WebView2.Core;

namespace YourAppNamespace;

public class CustomBlazorWebViewHandler : BlazorWebViewHandler
{
    protected override async void OnPlatformViewCreated(WebView2 platformView)
    {
        base.OnPlatformViewCreated(platformView);
        await platformView.EnsureCoreWebView2Async();
        // 禁用Web安全（仅调试）
        platformView.CoreWebView2.Settings.IsWebSecurityEnabled = false;
        // 拦截请求修改响应头
        platformView.CoreWebView2.WebResourceRequested += CoreWebView2_WebResourceRequested;
    }

    private void CoreWebView2_WebResourceRequested(object? sender, CoreWebView2WebResourceRequestedEventArgs e)
    {
        // 修改响应头
        var headers = e.ResponseHeaders;
        headers.Remove("X-Frame-Options");
        headers.Add("X-Frame-Options", "ALLOWALL");
        e.ResponseHeaders = headers;
    }
}

2. 在MauiProgram.cs的ConfigureMauiHandlers中添加Windows平台的Handler注册：

#if WINDOWS
handlers.AddHandler<Microsoft.Maui.Controls.BlazorWebView, CustomBlazorWebViewHandler>();
#endif

二、注意事项 #

• 禁用Web安全仅用于调试：生产环境启用会导致跨域攻击、资源泄露等严重安全问题，绝对禁止部署到生产。
• 响应头修改的局限性：部分网站的响应头可能通过CDN或服务器强制设置，拦截修改不一定能生效，需测试验证。
• 平台兼容性：不同平台的WebView控件API存在差异，需针对各平台分别实现。

内容的提问来源于stack exchange，提问作者Kroks