如何解决WebView内嵌网站的Facebook/Google社交登录受限问题？

我开发的是现有网站的WebView外壳应用，主站支持社交登录，但在WebView内点击登录时，OAuth服务商因UA限制直接拦截——2021年起OAuth出于键盘记录风险，禁止通过WebView进行社交登录。试过伪造UA，但不合规且没法适配所有场景，现在想实现Facebook/Google登录，纠结两种方案的衔接细节，下面是具体的落地指导：

方案一：原生登录+Token同步到WebView #

• 先集成平台原生SDK：分别接入Facebook Login SDK、Google Sign-In SDK，按照官方要求完成初始化，配置好应用的平台凭证（比如Facebook的App ID、Google的OAuth客户端ID）
• 原生端拿登录Token：调用SDK的登录接口，获取对应平台的访问Token（比如Facebook的AccessToken、Google的IdToken）
• 把Token传递给主站WebView：
  • URL参数传递：加载主站时直接在URL后拼接Token和服务商标识，比如https://你的主站域名.com/login?token=xxx&provider=facebook，主站后端拿到后调用平台的Token验证接口，确认合法就同步登录状态
  • JS注入：WebView加载完成后，用evaluateJavascript把Token注入到页面全局变量，示例代码：

    window.nativeAuthToken = { token: 'xxx', provider: 'google' };
    

    主站前端监听这个变量，拿到后调用后端接口完成登录
  • Cookie同步：原生端发请求把Token传给主站后端，后端设置登录Cookie，之后WebView加载主站时会自动携带这个Cookie（记得开启WebView的Cookie支持，且请求域名和主站一致）
• 注意：Token传输必须用HTTPS，主站后端一定要验证Token合法性，别直接信任原生传过来的内容

方案二：调用外部浏览器完成登录 #

• 构造授权URL：按照OAuth2.0授权码流程，拼好对应平台的授权地址，比如Google的授权URL要包含client_id、redirect_uri（设为你的应用自定义URL Scheme，比如yourapp://auth/callback）、scope、response_type=code这些参数
• 唤起外部浏览器：用系统API打开这个授权URL（Android用Intent.ACTION_VIEW，iOS用UIApplication.shared.open）
• 处理回调：在应用里注册自定义URL Scheme，用户在浏览器登录完成后，OAuth服务商会通过这个Scheme跳回应用，原生端捕获回调拿到授权码，然后调用后端接口用授权码换平台Token，同时让后端创建主站登录会话
• 同步登录状态到WebView：和方案一的第三步一样，用Cookie、URL参数或JS注入的方式，让WebView加载主站时直接处于登录状态
• 注意：自定义URL Scheme要在应用配置和OAuth服务商后台都注册好，授权码只能用一次，换完Token就赶紧丢弃

内容的提问来源于stack exchange，提问作者Jack Kinsella