如何在Android Cordova中完全禁用CORS保护以适配iframe需求

Hey，针对你的这个边缘场景，我刚好有几个可行的方案——毕竟你要的是完全打通Cordova主应用和iframe的同源限制，和大多数人用whitelist插件限制跨域的需求完全相反。结合你只在Android Chrome WebView上运行的情况，给你拆解下具体办法：

1. 直接修改Cordova WebView的核心配置 #

Cordova Android本质是封装了Chrome WebView，你可以通过修改WebView的原生设置，直接关闭同源策略相关的限制。具体操作是修改你的MainActivity.java（或者自定义WebView的Activity文件）：

import android.webkit.WebSettings;
import org.apache.cordova.CordovaWebView;
import android.os.Bundle;

public class MainActivity extends CordovaActivity {
    @Override
    public void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        loadUrl(launchUrl);
        
        // 获取WebView实例并调整设置
        CordovaWebView webView = (CordovaWebView) appView.getEngine().getView();
        WebSettings webSettings = webView.getSettings();
        
        // 允许file://协议下的iframe访问主应用的所有资源
        webSettings.setAllowUniversalAccessFromFileURLs(true);
        // 允许file://页面加载其他file://资源
        webSettings.setAllowFileAccessFromFileURLs(true);
        // 开启基础文件访问权限
        webSettings.setAllowFileAccess(true);
    }
}

这个方案直接作用于WebView底层，能让你的iframe和主应用完全同源，iframe可以自由访问主应用的window对象、Cordova API等。不过要注意：这会降低应用安全性，务必确保所有iframe内容都是你完全可控、可信的，绝对不要加载第三方未知来源的页面。

2. 用更现代的WebView插件简化配置 #

如果你不想手动修改Java代码，可以尝试使用cordova-plugin-ionic-webview插件——它替换了Cordova默认的SystemWebView，使用更现代的Chrome内核，还支持通过config.xml直接配置同源相关参数：

首先安装插件：

cordova plugin add cordova-plugin-ionic-webview

然后在config.xml中添加以下偏好设置：

<preference name="AllowUniversalAccessFromFileURLs" value="true" />
<preference name="AllowFileAccessFromFileURLs" value="true" />

插件会自动把这些配置应用到WebView上，效果和手动修改Java代码一致，而且还能提升WebView的性能和兼容性。

3. 终极同源方案：把iframe内容打包到本地 #

如果你的iframe内容是远程加载的，即使开启了上面的设置，可能还是会有跨域残留问题。这时候最稳妥的办法是把iframe的所有静态资源（HTML、JS、CSS等）打包到Cordova应用的www目录下，比如放在www/iframe-resources/文件夹里。

然后主页面中的iframe直接引用本地路径：

<iframe src="iframe-resources/index.html" frameborder="0"></iframe>

这样主应用和iframe都使用file://协议加载，属于天然同源，完全不受CORS限制，iframe可以毫无阻碍地访问主应用的作用域。

额外注意事项 #

• Android版本兼容性：setAllowUniversalAccessFromFileURLs在Android 11及以上的WebView中默认关闭，但通过代码或插件配置可以强制开启，不过部分定制ROM可能有额外限制，建议在目标Android版本上充分测试。
• 安全性提醒：再次强调，完全关闭CORS保护会让应用暴露在潜在风险中，只有当你100%信任所有iframe内容时才这么做。

内容的提问来源于stack exchange，提问作者timonsku