<b>H5与APK连接服务器端，本质上都是通过HTTP/HTTPS协议向同一个后端地址发起请求，区别在于H5受浏览器同源策略约束需要配置CORS，而APK需要在AndroidManifest中声明网络权限并处理WebView的混合内容加载。</b>搞清这条主线，后面所有配置都是围绕“让请求合法发出、让数据正确返回”这两个动作展开。
H5页面如何连接服务器端：从请求发起到数据返回的完整链路
H5跑在浏览器或WebView里，连接服务器端的路径最短，但踩坑点也最集中，理解它的运行环境,是排查一切连接问题的前提。
请求是怎么发出去的
H5页面里的连接动作最终都归结为几种浏览器原生能力：
- fetch / XMLHttpRequest：最常见的异步数据请求方式，用于调用RESTful接口、提交表单、拉取JSON数据。
- WebSocket：需要服务器主动推送时使用，比如实时消息、协同编辑场景。
- EventSource：单向服务器推送，适合日志流、通知流。
- 表单提交与资源加载：图片、脚本、样式表本身也是跨网络请求,容易在排查时被忽略。
一个典型的fetch调用长这样：
fetch('https://api.example.com/user/info', {
method: 'GET',
headers: { 'Authorization': 'Bearer ' + token },
credentials: 'include'
})
代码本身不复杂，真正决定成败的是服务器端返回的响应头，如果后端没有返回Access-Control-Allow-Origin，浏览器控制台会直接报CORS错误，请求在预检阶段就被拦下,前端拿不到任何业务数据。
混合开发跨域请求怎么解决
这是H5连接服务器端最高频的问题，浏览器出于安全考虑，默认禁止页面向不同源（协议、域名、端口任一不同）的地址发起跨域请求，解决路径有三条,按推荐程度排序：
- 服务器端配置CORS：在后端响应头中增加
Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers，并正确响应OPTIONS预检请求，这是标准做法,对H5和APK内的WebView同时生效。 - 反向代理：开发阶段用Nginx或前端脚手架的proxy把
/api转发到后端域名，让浏览器认为请求同源,上线后由网关层统一处理。 - JSONP：只适用于GET请求，属于历史方案,新项目不建议采用。
行业共识认为，跨域问题的根子在服务器端响应头，前端改再多代码也不如把CORS配置对,一个常见的Nginx配置片段：
add_header Access-Control-Allow-Origin https://your-h5-domain.com; add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS'; add_header Access-Control-Allow-Headers 'Content-Type, Authorization';
注意Access-Control-Allow-Origin不要图省事写成，一旦请求携带Cookie,通配符会直接失效。
HTTPS与域名配置的硬性要求
近年来主流浏览器和移动端WebView对HTTPS的要求越来越严格，H5页面如果部署在HTTPS域名下，请求HTTP接口会被当作混合内容拦截，同理，APK内WebView加载HTTPS页面时请求HTTP接口，Android 5.0以上默认阻止混合内容加载,实操上需要做到：
- H5页面与API接口统一使用HTTPS。
- 证书链完整,避免中间证书缺失导致部分Android机型握手失败。
- 域名备案与解析正确,避免请求被运营商或安全软件劫持。
APK调用后端API接口配置方法：权限、WebView与网络层三处对齐
APK连接服务器端比H5多了一层原生环境，问题往往不出在接口本身，而出在权限、网络配置或WebView设置上,下面按实际排查顺序拆解。
网络权限与明文流量配置
Android应用发起任何网络请求，第一道门槛是权限声明，在AndroidManifest.xml中必须有：
<uses-permission android:name="android.permission.INTERNET" /> <uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />
从Android 9（API 28）开始，系统默认禁止明文HTTP流量，如果后端仍是HTTP接口,需要在manifest的application节点中配置：
<application
android:usesCleartextTraffic="true"
...>
或者更精细地使用network_security_config.xml，只对指定域名放行明文流量，生产环境建议全部走HTTPS,不要长期依赖明文放行。
WebView加载H5时的通信配置
很多APK采用“原生壳+WebView加载H5”的混合模式，这时H5与服务器端的连接实际经过了两层：WebView到H5页面，H5页面到API服务器,WebView层面的常见配置项：
- setJavaScriptEnabled(true)：不开启JS,H5里的fetch和XHR全部失效。
- setDomStorageEnabled(true)：H5使用localStorage或sessionStorage时必备。
- setMixedContentMode：控制HTTPS页面加载HTTP资源的行为，建议设为
MIXED_CONTENT_NEVER_ALLOW,从源头杜绝混合内容。 - addJavascriptInterface：原生与H5桥接时使用，注意Android 4.2以上需要加
@JavascriptInterface注解,且只暴露必要方法。
如果H5页面在系统浏览器里能正常请求接口，装进APK后却失败，优先检查WebView是否开启了JS、是否拦截了混合内容、是否缺少存储权限。
原生网络库的接口地址与超时设置
用OkHttp、Retrofit或HttpURLConnection直接请求API时,重点核对三件事：
- BaseURL是否正确：测试环境与生产环境域名切换时,混淆了地址是常见低级错误。
- 超时时间是否合理：连接超时和读取超时建议分别设置,弱网环境下读取超时过短会导致大量假失败。
- 证书校验是否放行：自签名证书在正式环境应完整配置信任链,而不是图省事全局忽略校验。
OkHttpClient client = new OkHttpClient.Builder()
.connectTimeout(10, TimeUnit.SECONDS)
.readTimeout(30, TimeUnit.SECONDS)
.build();
H5套壳APP网络请求失败怎么办：一张排查对照表
下面这张表把常见现象和对应检查点对齐，实际排障时按行往下走,比盲猜效率高得多。
| 现象 | 优先检查项 | 典型原因 |
|---|---|---|
| 浏览器正常，APK内失败 | WebView的JS开关、混合内容模式 | JS未启用或HTTPS页面请求HTTP接口被拦 |
| 请求返回403或CORS错误 | 服务器CORS响应头、Origin白名单 | 未放行APK内WebView的Origin或自定义Scheme |
| 请求超时但接口可访问 | 客户端超时设置、网络权限 | 读取超时过短或未声明INTERNET权限 |
| 部分机型失败 | 证书链、TLS版本 | 旧机型不支持新TLS版本或证书链不完整 |
| 登录态丢失 | Cookie配置、token传递方式 | WebView未开启Cookie同步或未带Authorization头 |
移动端WebView与服务器通信配置的性能与安全平衡
连接打通只是第一步，实际项目里还要考虑请求效率和安全性，这两者在移动端经常互相拉扯，处理不当要么慢,要么危险。
连接复用与请求合并
移动网络下频繁建立TCP和TLS握手开销明显,实操建议：
- 启用HTTP/2,让同一域名下的多个请求复用一条连接。
- 客户端使用连接池，OkHttp默认已内置,无需额外配置但要避免每次请求新建Client实例。
- 首屏需要的多个接口做聚合，由后端提供一个聚合接口,减少RTT次数。
鉴权信息的传递方式
H5和APK在鉴权上的处理有差异,但服务器端校验逻辑应当统一：
- H5场景：优先使用Authorization请求头携带token，配合
credentials: 'include'处理Cookie，注意跨域时Cookie需要服务器返回Access-Control-Allow-Credentials: true。 - APK场景：原生请求可直接在请求头中附加token；WebView场景下可通过CookieManager同步登录态,或由原生注入token到H5的存储中。
- 共同原则：token不要拼接在URL参数里,避免被日志和Referer泄露。
抓包验证是最终手段
配置改完后，最可靠的验证方式是用抓包工具观察实际发出的请求，Charles或Fiddler配置好代理后,可以清楚看到：
- 请求是否真的发到了目标域名。
- 请求头里是否带了预期的Authorization和Origin。
- 服务器返回的状态码和响应头是否符合预期。
相当一部分“接口连不上”的问题，在抓包结果面前会立刻现形要么请求根本没发出，要么发到了错误地址，要么被重定向到了登录页，业内专家指出，移动端网络问题中真正属于“服务器挂了”的比例并不高,多数情况是客户端配置或中间层拦截。
收束
H5和APK连接服务器端，共同底线是HTTPS、正确的请求头与可用的网络权限；差异点在于H5要过CORS这一关，APK要过WebView配置和明文流量策略这一关。先保证请求能合法发出，再保证响应能被正确接收，排查时优先用抓包看真实流量而不是猜代码。
关于H5与APK连接服务器端的常见疑问
H5页面在APK的WebView里请求接口失败，但在手机浏览器里正常，原因是什么？
多数情况是WebView的运行环境与系统浏览器存在差异，重点排查三处：WebView是否调用了setJavaScriptEnabled(true)；是否因HTTPS页面加载HTTP接口被混合内容策略拦截；WebView的Origin与浏览器不同，服务器CORS白名单可能没有放行，逐项核对后,大部分此类问题可以在十分钟内定位。
APK调用后端API接口需要配置哪些权限和网络设置？
至少需要声明INTERNET权限，视场景补充ACCESS_NETWORK_STATE，Android 9以上若后端为HTTP接口，需配置usesCleartextTraffic或网络安全配置文件放行指定域名，使用WebView加载H5时，还需开启JavaScript和DOM存储，生产环境建议统一使用HTTPS,避免明文流量配置长期留在安装包中。
H5和APK连接同一个服务器端，后端需要做哪些差异化配置？
核心差异在跨域策略，H5受同源策略约束，后端需要正确返回CORS响应头并处理OPTIONS预检；APK原生请求不受浏览器同源策略限制，但WebView内加载的H5同样受约束，因此后端CORS配置应对H5域名和APK内WebView的Origin同时放行，鉴权逻辑保持统一,仅传递载体不同。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/784766.html
