最安全的方式是用<link rel="stylesheet" href="./styles/main.css">，但需同时满足HTML与CSS物理路径一致、主进程用win.loadFile()加载、打包后未写死绝对路径三个条件；报错“Not allowed to load local resource”是Chromium在file://协议下拦截跨目录请求所致。
最安全的方式是用 <link rel="stylesheet" href="./styles/main.css">，但必须同时满足三个硬性条件：HTML 与 CSS 的物理路径关系和相对路径完全一致、主进程用 win.loadFile() 加载、打包后没写死绝对路径。
为什么 href="./styles/main.css" 有时报 “Not allowed to load local resource”
这不是路径写错了，而是 Chromium 在 file:// 协议下主动拦截跨目录资源请求。即使 fs.existsSync() 返回 true，浏览器仍会静默拒绝加载——控制台错误是安全策略拒绝，不是 404。
- 开发时“偶尔能用”，往往是因为 HTML 和 CSS 恰好同级，被宽松放行；但打包或结构变动后极易崩
-
__dirname和path.join()在主进程有效，但在 HTML 的href属性里无法执行，写死绝对路径毫无意义 - 用
win.loadURL('file://...')加载 HTML 会让 Chromium 丢失当前目录上下文，相对路径直接失效
preload.js 注入 CSS 字符串的实操要点
适合小量样式、主题切换或需运行时控制的场景，它绕过所有协议限制，因为内容是字符串，不是外部请求。
- 必须启用
preload且contextIsolation: true - 路径要用
path.join(__dirname, '../styles/main.css')—— 注意__dirname是preload.js所在目录，不是 HTML 所在目录 - 打包后需改用
process.resourcesPath或app.getAppPath()，否则读不到 asar 内部文件 - 注入时机必须等
document.addEventListener('DOMContentLoaded', ...)，不能在 preload 脚本顶部就执行 - 大体积 CSS 建议用
readFileSync(..., 'utf8').trim()清掉 BOM，避免解析失败
注册 app:// 协议是唯一可扩展的长期方案
当项目结构复杂、CSS 分布在多层目录、或需要复用同一套资源映射逻辑时，硬靠相对路径会越来越难维护。
立即学习“前端免费学习笔记（深入）”；
- 注册必须在
app.whenReady()之后、BrowserWindow创建之前调用 - 回调里必须用
path.normalize()处理request.url.slice(6)拼出的路径，否则可能被..遍历攻击 - HTML 中写
<link rel="stylesheet" href="app://css/main.css">，不是file:// - 注册后需重启应用才生效；开发时可加
console.log确认回调是否触发 - 不要在 preload 脚本里重复注册 ——
protocol是主进程全局行为
最容易被忽略的是路径映射的根目录一致性：无论用 loadFile、preload 还是 app://，所有路径计算都依赖一个明确的基准点，而这个基准点在不同上下文中（主进程、preload、HTML）指向的位置完全不同。
