Web允许对象是否需Content URI？通用应用切换场景疑问

这确实是**Web允许对象（WebAllowedObject）**的固有行为，和你之前用的Script Notify机制在安全模型上有本质区别，不是你遗漏了配置~

两者的核心差异： #

• Script Notify的强制URL限制
  Script Notify是WebView中的网页主动向宿主应用发送通知的机制，为了防止恶意网页随意触发宿主的逻辑，系统强制要求必须在应用清单（Package.appxmanifest）的Content URIs中添加允许的URL。只有来自这些白名单源的网页，才能触发宿主的ScriptNotify事件，这是一种基于Web源的被动安全限制。

• Web允许对象的主动授权逻辑
  Web允许对象是宿主应用主动将自己的对象注入到WebView的JavaScript环境中，让网页可以直接调用宿主暴露的方法/属性。这种机制的控制权完全在宿主这边——是你主动选择要把哪个对象注入到WebView里，所以系统不需要通过清单URL来做限制。相当于你主动打开了一扇门，而不是等着外面的网页敲门，自然不需要提前指定“谁能敲门”。

可选的安全加固（非强制） #

如果你担心任意网页都能访问你注入的Web允许对象，也可以额外做限制：

• 在应用清单中配置Content URIs，结合WebView的AllowedScriptNotifyUris属性辅助限制WebView的可信源
• 在代码中动态检查WebView的Source属性，只对特定源的网页注入Web允许对象

内容的提问来源于stack exchange，提问作者Vishnu s