用 Tauri 注入 UserScript

2026-06-04T17:30:00+08:00

注意：该方式注入的脚本具备接近页面最高权限的执行能力。如若涉及远程加载，必须实现签名、证书检查等完整性保护机制，否则可导致页面被完全接管。</p> </blockquote>

在使用 Tauri 构建桌面 WebView 应用时，笔者偶然发现 Builder::append_invoke_initialization_script</code></a> 这个 API。</p>

它允许在 WebView 初始化阶段注入 JavaScript，在页面业务代码执行之前运行。这使得将 UserScript 直接内置进应用成为可能。</p>

注入机制</h2>
Tauri 提供的注入方式如下：</p>

tauri</span>::</span>Builder</span>::</span>default</span>()</span></span>
    // Example script</span></span>
    // or: include_str!("script.js")</span></span>
    .</span>append_invoke_initialization_script</span>(</span>r#"</span></span>
        // modify window properties directly</span></span>
        window.__APP__ = true;</span></span>
        // Overriding `fetch()`</span></span>
        window.fetch = () => {};</span></span>
        // inject custom stylesheets on the document, e.g.</span></span>
        window.addEventListener(</span></span>
            "DOMContentLoaded",</span></span>
            () => {}</span></span>
        );</span></span>
    "#</span>)</span></span>
    .</span>run</span>(</span>tauri</span>::</span>generate_context!</span>())</span></span>
    .</span>expect</span>(</span>"error while running tauri application"</span>);</span></span></code></pre>
这个阶段发生在 WebView 初始化早期，比
DOMContentLoaded</a>
更靠前，因此可以影响页面最初的运行环境。</p>
UserScript 兼容性的处理方式</h2>
UserScript 通常运行在 TamperMonkey / GreaseMonkey 环境中，依赖 GM_*</code> API 或 unsafeWindow</code> 等扩展能力。而在普通 WebView 环境中，这些对象不存在。</p>
const</span> unsafeWindow</span> =</span> 'undefined'</span> === typeof</span> GM_info</span> ?</span> window</span> :</span> unsafeWindow</span>;</span></span></code></pre>
在必要时，我们可以手动提供兼容的对象，供 UserScript 使用。</p>
使用价值</h2>
这种方式本质上是在把 UserScript 作为应用内置能力使用。</p>
相比传统 UserScript 流程，它减少了外部依赖：</p>

不需要用户安装油猴类扩展</li>
不需要依赖 GreasyFork / OpenUserJS / jsDelivr 等脚本托管站</li>
在网络受限环境下更稳定</li>
</ul>
在分发层面，它更接近：</p>

“带脚本能力的桌面 Web 应用”</p>
</blockquote>
安全边界</h2>
该模式的关键风险在于：注入脚本等同于页面最高权限执行环境。</p>
需要注意：</p>

只加载可信脚本或本地内置脚本</li>
远程脚本必须具备签名或完整性校验机制</li>
避免将其作为普通前端逻辑入口</li>
必要时进行能力拆分或隔离执行环境</li>
</ul>
总结</h2>
append_invoke_initialization_script</a> 提供了一个非常直接的能力：在 WebView 初始化阶段注入 JavaScript。</p>
借助这一机制，可以将 UserScript 作为应用内部逻辑层进行封装，实现：</p>

桌面应用内置脚本能力</li>
与 UserScript 生态兼容的脚本复用</li>
减少对外部脚本托管与浏览器扩展的依赖</li>
</ul>
这是一种将“浏览器扩展式能力”迁移到桌面应用分发体系中的实现路径。</p>
示例项目：fknc-calculator</a></p>

mokurin000's blog - userscript

用 Tauri 注入 UserScript

使用价值</h2> 这种方式本质上是在把 UserScript 作为应用内置能力使用。</p> 相比传统 UserScript 流程，它减少了外部依赖：</p>

安全边界</h2> 该模式的关键风险在于：注入脚本等同于页面最高权限执行环境。</p> 需要注意：</p>