HTML5转APP后无法直接读取短信验证码，因系统安全限制禁止Webview访问短信数据库；唯一合规方案是使用autocomplete="one-time-code"的自动填充，需短信格式规范、HTTPS环境及用户开启系统自动填充开关。
HTML5转APP后无法直接读取短信验证码
不能。HTML5打包成的App（如用Cordova、Capacitor、uni-app等）默认没有Android/iOS原生权限去监听短信内容，系统层面禁止网页或Webview直接访问短信数据库，这是平台级安全限制。
常见错误现象：document.querySelector('input[type="tel"]').value 无法自动填入短信中的6位码；用户仍需手动复制粘贴。
- Android 8+ 要求显式申请
READ_SMS权限，且 Google Play 已禁止大多数非默认短信应用使用该权限 - iOS 完全不开放短信读取API给第三方Webview容器
- 即使插件声称“支持”，实际在新系统上大概率被拒审或静默失败
替代方案：用Web标准的SMS OTP自动填充（无需权限）
现代浏览器和系统支持基于格式识别的自动填充，前提是短信符合特定结构，且页面正确标记。这是唯一合规、稳定、无需原生权限的方式。
- 短信必须以
【品牌名】开头（中括号为必需），例如：【支付宝】您的验证码是123456，5分钟内有效。 - 输入框需带
autocomplete="one-time-code"属性，并设type="text"（不要用type="number"，会破坏匹配） - 确保页面在 HTTPS 下运行（HTTP 域名下该功能被禁用）
- Android Chrome / iOS Safari 均支持，但需用户开启系统级“自动填充验证码”开关（设置 > 密码与账户 > 自动填充服务）
示例代码：
立即学习“前端免费学习笔记（深入）”；
Cordova/uni-app等框架中启用自动填充的注意事项
打包后的Webview可能默认禁用部分表单能力，需检查配置是否覆盖了原生行为。
- Cordova：确认
config.xml中未设置android:usesCleartextTraffic="false"导致HTTPS降级（影响自动填充触发） - uni-app：H5端自动填充正常；App端需用
web-view加载H5页（而非vue原生渲染），否则autocomplete属性不生效 - Capacitor：需在
capacitor.config.ts中启用webview的allowContentAccess: true（仅影响本地调试，不影响线上） - 所有框架都应避免对
input元素做preventDefault()或劫持paste事件，否则会打断系统自动填充流程
为什么有些插件说能“自动读短信”？风险在哪
所谓“短信读取插件”多是调用过时的Android API（如SmsRetrieverClient），仅适用于极少数场景——比如App本身是默认短信应用，或用户手动授予权限（Android 6.0以下）。现在几乎不可行。
- Google Play审核拒绝理由明确写有：
Apps that request SMS permissions solely to read verification codes will be rejected - iOS App Store 直接不提供对应API，任何宣称“iOS读短信”的方案都是伪需求或混淆了“剪贴板监听”
- 剪贴板监听（
clipboard.readText()）虽可用，但需用户主动复制，且iOS Safari 不支持该API，Android Chrome 也要求用户交互后才可调用
真正可靠的路径只有一条：规范短信模板 + 正确标记 input + 依赖系统自动填充机制。绕不开，也别想绕开。
