Cordova通过HTTPS协议提供应用服务的核心原因有哪些？

相比http/file协议，本地HTTPS的突出优势如下： #

• 适配现代Web API的安全上下文要求
  目前包括Android System WebView在内的所有主流浏览器内核，都要求Geolocation、MediaDevices、Service Worker、Web Crypto等高级Web API必须在HTTPS安全上下文中才能调用，file协议和普通http协议默认会被拦截禁用。使用本地HTTPS服务后无需额外修改WebView的安全配置，即可直接调用这类API，大幅降低适配成本。
• 彻底解决跨域与混合内容拦截问题
  此前使用file协议加载页面时，请求后端接口的Origin为null，大多数服务端的CORS规则无法兼容这类请求，往往需要额外配置跨域白名单；若使用本地http服务，请求HTTPS后端接口时还会触发混合内容拦截机制。使用本地HTTPS服务后，Origin为固定的HTTPS域名，既可以轻松适配服务端CORS规则，也不会触发混合内容拦截。
• 增强本地资源的防篡改能力
  本地HTTPS服务会使用应用内置的自签名证书完成TLS校验，WebView仅信任应用自身签发的根证书。即使出现设备root、恶意应用获取存储权限篡改本地静态资源的情况，被篡改的资源也无法通过TLS校验，会直接被WebView拦截，不会执行恶意代码。
• 完美适配前端工程化生态
  目前Vue、React等主流前端框架的打包规则、路由逻辑、资源加载策略默认都是针对HTTPS部署场景设计的，此前使用file协议时经常出现相对路径错误、hash/history路由失效、静态资源加载失败等适配问题。使用本地HTTPS服务后，运行环境和常规Web部署环境完全一致，前端代码无需额外修改即可直接在Cordova中运行，大幅降低开发适配成本。

针对「本地文件无篡改风险为何还要用HTTPS」的疑问说明： #

你提到的「攻击者无法访问WebView、无法恶意篡改本地文件」属于理想安全假设，实际安卓生态中存在大量不可控场景：比如root后的设备、用户给第三方应用授予了过高的存储权限、应用自身本地缓存逻辑出错等，都有可能导致加载的本地资源被篡改或损坏。HTTPS的校验机制可以直接拦截这类异常资源，避免应用出现不可预期的安全问题或逻辑异常。

内容的提问来源于stack exchange，提问作者IT Man