QWebEngine 沙箱、安全策略、跨域问题与规避方法
公众号：cpp手艺人
QWebEngine 沙箱、安全策略、跨域问题与规避方法
（附实际案例 + 调试技巧 + 可复现 Demo）
在基于 QWebEngine 的浏览器或嵌入式 WebView 项目中，安全策略、跨域限制、沙箱隔离是绕不过去的关键主题。
了解它们如何工作、何时被触发、如何合法规避，能避免 80% 的 WebView 异常行为，例如：
- 本地文件无法访问网络资源
- iframe 加载失败、JS 被阻止
- CORS 报错
- mixed-content 被自动拦截
- JS 无法访问 QWebChannel 对象
- 页面出现
Blocked by client或Unsafe attempt to load ...
本文将全面梳理 QWebEngine 的沙箱、安全策略与跨域行为，并给出可直接运行的 Qt/C++ Demo 代码。
1. QWebEngine 的安全模型基础
QWebEngine 继承了 Chromium 的安全体系，主要包括：
✓ 1.1 沙箱模式（Sandbox）
- Chromium 的子进程（Renderer、GPU 等）默认在沙箱中运行
- 限制系统调用、网络访问、文件操作
- Qt 很少允许关闭沙箱（Qt 6 有开关，Qt 5 大多禁用）
典型现象
- 加载本地 HTML 后无法访问文件系统
- JS 访问摄像头、麦克风需要权限
- file:// 下禁止访问远程 http:// 或 https://
✓ 1.2 Content Security Policy（内容安全策略）
Chromium 自动触发以下策略：
- 禁止 HTTP 页面加载 HTTPS（mixed-content）
- 禁止跨域读取 response（CORS）
- iframe、script，img 的加载依赖来源规则
✓ 1.3 QWebEngine 专有安全策略
| 条目 | 描述 |
|---|---|
| 本地资源访问策略 | QWebEngine 默认禁止 file:// 访问 remote 或 file://跨目录访问 |
| JS 与 C++ 通信安全 | QWebChannel 对象必须在主 frame 注册 |
| URL Scheme 权限 | 自定义协议需要注册访问类型（Local / Secure / Standard） |
2. 沙箱/安全策略带来的典型问题与案例
下面是实际可复现的典型错误。
案例 1：file:// 页面加载跨域资源失败
你有一个本地页面：
file:///C:/test/index.html<