PWA Manifest安全与权限治理（scope/start_url/显示模式）最佳实践

背景与价值 PWA安装需要明确的应用范围与入口。合理配置可提升体验并降低跨域风险与误导页面。 统一规范 - scope：限制在受控路径；避免过宽或跨域。 - start_url：固定受控入口并附带必要参数。 - display：选择 `standalone` 或 `minimal-ui`，避免 `fullscreen` 滥用。 核心实现 Manifest生成与校验（示意） ```ts type Manifest = { name: string; short_name: string; start_url: string; scope: string; display: 'standalone'|'minimal-ui'|'browser'; icons: { src: string; sizes: string; type: string }[] } function validUrl(u: string, origin: string): boolean { try { const x = new URL(u); return x.origin === origin && x.pathname.startsWith('/app') } catch { return false } } function verifyManifest(m: Manifest, origin: string): boolean { return validUrl(m.start_url, origin) && validUrl(m.scope, origin) && (m.display === 'standalone' || m.display === 'minimal-ui') } ``` 落地建议 - 将 `scope/start_url` 设为受控路径，`display` 合理选择，避免滥用权限与跨域范围。 验证清单 - 起始URL与作用域是否在受控域与路径；显示模式是否合理。