WinUI3中WebView2如何禁用fetch请求的CORS限制

你之前尝试的几个方案不生效的核心原因：

• WinUI3版本的EnsureCoreWebView2Async实际存在接收自定义环境参数的重载，之前未找对调用方式
• WebResourceResponseReceived事件触发时机在CORS校验完成之后，此时修改响应头无法绕过校验，且跨域预检请求失败时根本不会触发该事件
• SetVirtualHostNameToFolderMapping仅支持本地文件夹的虚拟域名映射，对公网外部URL完全无效

以下是两个可落地的解决方案，优先推荐第二种，无版本兼容问题：

方案1：启动时传入参数禁用WebView2安全校验 #

该方案通过自定义WebView2启动参数直接关闭同源策略，注意必须在WebView2完成默认初始化前调用：

1. XAML中的WebView2不要提前设置Source属性，避免触发自动初始化
2. 在页面加载事件中手动创建带禁用安全参数的WebView2环境，再完成初始化：

using Microsoft.Web.WebView2.Core;

private async void Page_Loaded(object sender, RoutedEventArgs e)
{
    // 传入--disable-web-security参数关闭同源校验
    var envOptions = new CoreWebView2EnvironmentOptions("--disable-web-security");
    var env = await CoreWebView2Environment.CreateAsync(null, null, envOptions);
    // 调用带环境参数的重载完成初始化
    await webView.EnsureCoreWebView2Async(env);
    // 初始化完成后再导航到你的前端页面
    webView.Source = new Uri("你的本地前端页面地址");
}

注意：该方案会关闭整个WebView2的同源安全策略，仅适合内部工具类应用使用，不适合加载不可信外部内容的场景。

方案2：请求转发到原生层执行（推荐） #

该方案完全绕开WebView2的浏览器安全沙箱，不需要修改启动参数，兼容所有WebView2版本，是最稳定的实现方式：

1. WebView2初始化完成后，向前端注入C#编写的原生请求处理对象：

using System.Runtime.InteropServices;
using System.Net.Http;

// 先定义可被前端调用的请求处理类
[ComVisible(true)]
[ClassInterface(ClassInterfaceType.AutoDual)]
public class NativeRequestHandler
{
    private static readonly HttpClient _httpClient = new HttpClient();
    public async Task<string> FetchHtmlAsync(string url)
    {
        // 原生层发HTTP请求无CORS限制，直接返回内容即可
        return await _httpClient.GetStringAsync(url);
    }
}

// 在WebView2初始化完成事件中注册对象
private async void WebView_CoreWebView2InitializationCompleted(object sender, CoreWebView2InitializationCompletedEventArgs e)
{
    webView.CoreWebView2.AddHostObjectToScript("NativeRequest", new NativeRequestHandler());
    webView.Source = new Uri("你的本地前端页面地址");
}

2. 修改前端的fetch逻辑，改为调用原生层暴露的方法拉取内容：

private async fetchHtml() {
    const url = document.querySelector<HTMLInputElement>("#txt-url")!.value;
    // 调用C#层方法拉取HTML，无CORS限制
    // @ts-ignore 忽略TS对webview宿主对象的类型校验
    const html = await window.chrome.webview.hostObjects.NativeRequest.FetchHtmlAsync(url);
    document.querySelector<HTMLTextAreaElement>("#txt-html")!.value = html;
}

该方案仅将需要跨域的请求转发到原生层，其余前端逻辑仍运行在安全沙箱内，不会引入额外安全风险，适配所有公网、内网URL的请求场景。

内容的提问来源于stack exchange，提问作者Luke Vo