把结账或信息收集表单放进 WebView 看着很快——直到你意识到用户的姓名、支付信息、健康数据正穿过一份从你服务器拉来的文档，并往往继续流向第三方。这种漂移直接撞上 GDPR 的数据最小化与数据驻留规则，也撞上云 AI「默认拿网络上传的内容训练」的设定。

会旅行的文档

WebView 屏幕不是你画的那块屏。它是一份你的服务器在会话时发给设备的文档，由一个借来的引擎渲染。用户填的每一个字段，都进到那份远端文档里，再跨网络回传你的后端——而且常常回传进嵌在里面的分析、支付、身份 SDK。数据不留在用户所在之处；它移动，每一次移动都是一份带着自身暴露面的副本。

默认跨境

对跨国用户群来说，这种移动很少是国内的。监管者是用罚单而不是指引来说话的。2023 年，Meta 因把欧盟用户数据转移到美国、缺乏充分保护，被爱尔兰数据保护委员会（DPC）罚 12 亿欧元——史上最高 GDPR 罚单。2025 年 4 月，TikTok 因同一类失败被罚 5.3 亿欧元，其中包括中国境内人员对 EEA 用户数据的远程访问。GDPR 第 44–49 条管的是向第三国传输；第 5 条要求个人数据「充分、相关且仅限于必要的范围」。一份像远端文档一样漂着的表单，让这两条都更难遵守，因为你不再确切知道每一份副本落在哪里。

云 AI 默认拿它训练

漂移不会止步于你自己的服务器。斯坦福以人为本 AI 研究院（HAI）2025 年 10 月发布的研究，考察了六家美国主要 AI 公司如何处理聊天对话，发现它们全部默认用用户对话来改进模型，保留期很长——某些情况无限期——而且聊天数据常与该公司掌握的其他信息合并。当 WebView 把用户输入送向远端模型端点，它进入的正是这些默认设定。端侧 AI 去掉的那一步上传，正是监管者和研究者担忧的那一步副本。

端侧的对应解法

业界对这种暴露的回答，是让数据留在本地。苹果自己的隐私文档说，Apple Intelligence 模型「尽可能完全在设备端运行，任务无需数据离开设备即可完成」，只有更重的请求才升级到 Private Cloud Compute。Google 的 Gemini Nano 经 Android AICore 系统服务运行，按 Google 开发者文档，提供生成式 AI「无需网络连接、也不把数据发到云端」。这与 GDPR 第 5 条的数据最小化是同一直觉——但靠架构实现，而不是靠承诺。

runtime 的解法

宿主自有 runtime 在本地渲染小程序，敏感数据留在设备与你受治理的后端之间，而不是漂过从第三层拉来的文档。在有端侧能力的地方，推理和处理本地跑；必须去你服务器的，路径是你定义、可审计的。数据最小化变成架构的一个属性——更少的副本、更少的跨境、更少的沉默第三方——而不是你寄望远端文档遵守的一条条款。

维度WebView宿主自有 runtime
PII 所在地在从你服务器拉来的文档里，常继续流向 SDK在设备与你受治理后端之间
跨境传输容易搞不清每份副本落在哪你定义、可审计的路径
第三方模型训练数据过网时默认可达本地或受治理，无沉默云副本
最小化保证对远端文档的一厢情愿架构本身的属性
你能证明的很难枚举每份副本设计上就副本更少

本系列的贯穿主线是控制权。WebView 把你最敏感的输入交给一份按别人节奏再生成的文档；runtime 把它留在一个你拥有的边界里。在一个「弄丢一份副本就罚九位数」的监管环境里，这道边界不是锦上添花。

参考来源