如何禁用 WebView 的 JavaScript 弹窗和文件访问以提升安全性？

返回 View 与显示链路 目录

标准回答

不需要脚本时，用 WebSettings.setJavaScriptEnabled(false) 禁用 JavaScript；需要脚本但不要 alert/confirm/prompt 弹窗时，在 WebChromeClient 对应回调中 cancel 结果并返回 true。文件访问使用 setAllowFileAccess(false)，不需要 content:// 访问时也关闭 setAllowContentAccess。

**安全边界：**不要开启来自 file:// 页面的跨域文件访问或通用访问；只加载允许的来源。关闭弹窗只改变交互，不能替代来源校验和 JS 桥接权限限制。

通俗例子

只展示本地帮助文档时，可能根本不需要 JavaScript。展示可信业务页时，则按来源和用途逐项开放，不能所有开关一律打开。

参考资料

• WebView 原生桥安全

内容来源

• Android · AI Agent 知识手册 · 原条目 11.1.1