android webview中file://加载html时跨域本质是安全模型阻断响应读取，服务端cors头无效；可行解法包括启用setallowuniversalaccessfromfileurls（调试）、webviewassetloader注册https源、shouldinterceptrequest拦截后用okhttp原生请求。
在移动端 WebView 中解决 JavaScript 跨域问题，不能套用纯 Web 环境的 CORS 配置思路。因为 WebView（尤其是 Android）默认以 file:// 协议加载本地 HTML，此时浏览器将页面视为“文件源”，与任何 http:// 或 https:// 接口天然不同源，且不触发标准 CORS 预检流程——但依然会拦截响应内容，导致 fetch 或 XMLHttpRequest 拿不到数据。
WebView 加载本地资源时的跨域本质
当你的 HTML 文件放在 assets/www/index.html，通过 webView.loadUrl("file:///android_asset/www/index.html") 加载，JS 尝试请求 https://api.example.com/user 时，浏览器判定为跨域。这不是服务器拒绝请求，而是 WebView 安全模型在响应阶段直接阻断 JS 对响应体的读取。关键点在于：file:// 与 http(s):// 之间没有 CORS 协商机制，服务端加响应头完全无效。
Android WebView 的可行解法（非代理、非后端改）
针对无法修改服务端响应头、又必须在 file:// 下调用远程 API 的场景，推荐以下组合方案：
- 启用
WebSettings.setAllowUniversalAccessFromFileURLs(true)（仅限调试，API 21+ 已废弃但部分 ROM 仍生效） - 更可靠的做法：使用
WebViewAssetLoader（AndroidX），把整个 Web 应用注册为https://appassets.androidplatform.net/这类 HTTPS 源，让 JS 请求变成同协议通信 - 对网络请求做
shouldInterceptRequest拦截，用原生OkHttp发起请求并返回WebResourceResponse，绕过 WebView 的 JS 层跨域检查 - 若仅需加载静态 JSON 或简单接口，可预置资源到
assets并用fetch('file:///android_asset/data.json')——注意：这仍是跨源，需配合setAllowContentAccess(true)和setAllowFileAccess(true)
iOS WKWebView 的处理差异
iOS 上 WKWebView 对 file:// 更严格，setAllowUniversalAccessFromFileURLs 不存在。必须采用：
- 用
loadFileURL(_:allowingReadAccessTo:)指定可读目录，例如指向Bundle.main.bundleURL，再用相对路径请求同包内资源 - 将 HTML 改为通过本地 HTTP Server（如
GCDWebServer）以http://localhost:8080提供，使 JS 请求变为同源或可控跨域 - 对远程 API，前端仍走标准 fetch，后端必须正确配置 CORS 响应头——因为 WKWebView 遵循标准 CORS 流程，不像 Android WebView 那样“跳过协商”
哪些方法不推荐或已失效
以下常见尝试实际无效或存在严重风险：
-
webview.getSettings().setJavaScriptEnabled(true)单独开启 JS 不解决跨域 - 在 HTML 中加
<meta http-equiv="Content-Security-Policy" content="default-src *">对 WebView 无约束力 - Chrome DevTools 里禁用安全策略（
--disable-web-security）仅适用于桌面 Chrome，不适用于 WebView - 前端加
mode: 'no-cors'会导致响应不可读，fetch 返回 opaque 类型，无法解析 JSON
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
