Electron - 防止 webview 访问本地文件

Question

我有一个 Electron 应用程序，可以将安装在用户计算机上的本地文件中的第 3 方代码加载到 <webview> 标记中。目前，webview 能够通过绝对路径 (file://...) 或父引用 (../../file.ext) 加载任何本地文件。

出于安全原因，我想限制 webview 的本地文件只能访问特定目录（html 文件所在的位置）内的文件，并阻止它访问外部的任何内容。在 Electron 中可以做到吗？

Answer 1

我自己找到了解决办法：如果你用file://...协议引用webview的src属性中的html，webview将能够访问所有本地文件。

因此，解决方案不是使用file://... 协议直接指向 html，而是应该运行一个本地 Web 服务器，该服务器仅提供您希望 webview 可以访问的静态文件。当 webview 的 src 使用 http(s)://... 加载时，Electron 会自动将其视为普通网页，阻止对所有本地文件的访问。问题解决了。