Chrome中Webview缺失：WPF集成WebView2对接Saba微应用无法获取会话令牌

安全阿岳

2026-9-25

WebView2 会话Token回传异常排查思路

环境版本排查

验证客户端WebView2 Runtime版本是否在近24小时内自动更新：微软官方暂未发布移除window.chrome.webview接口的相关公告，优先回退到之前稳定运行的Runtime版本做复现测试，确认是否为版本兼容问题
检查WPF应用WebView2初始化状态：监听CoreWebView2InitializationCompleted事件，确认初始化过程无未捕获异常，CoreWebView2实例正常生成

配置规则排查

核对Saba站点域名是否在WebView2的允许跨域访问列表内：若第三方站点近期调整了安全域名规则，跨域隔离会导致宿主注入的webview对象无法被前端访问
检查WebView2配置项：确认CoreWebView2Settings中IsScriptEnabled、IsWebMessageEnabled开关均为开启状态，未启用会阻断宿主对象注入和消息通信
确认Saba站点的内容安全策略（CSP）未更新：若站点新增了限制宿主对象访问、拦截内联脚本的CSP规则，会导致window.chrome.webview被拦截，可通过CoreWebView2.FrameNavigationStarting事件捕获响应头核对CSP配置

前端逻辑排查

校验微应用脚本执行时机：window.chrome.webview是WebView2初始化完成后才会注入到页面的对象，如果微应用脚本执行时机早于注入完成时间，会返回undefined，可新增轮询判断逻辑兜底：

// 兜底获取webview对象逻辑
const getWebviewInstance = async () => {
  if (window.chrome?.webview) return window.chrome.webview
  let retryCount = 0
  return new Promise((resolve, reject) => {
    const timer = setInterval(() => {
      retryCount++
      if (window.chrome?.webview) {
        clearInterval(timer)
        resolve(window.chrome.webview)
      } else if (retryCount > 30) { // 最长等待3秒
        clearInterval(timer)
        reject(new Error('webview对象注入失败'))
      }
    }, 100)
  })
}