webapp开发，说白了就是给浏览器写程序。但别小看这活儿，它早就不只是“手机版网页”那么简单了。

我见过太多团队栽跟头，以为套个Bootstrap做几个响应式页面就叫webapp。真正的webapp，得像个“应用”——你得能离线用、有推送通知、能调用摄像头，甚至后台还能跑点任务。2019年Google I/O上，他们演示了在浏览器里用TensorFlow.js实时识别手势，会场安静了那么两秒，接着全是倒吸凉气的声音——那玩意儿以前只能靠原生App。

技术选型是第一个坑。React、Vue、Angular三座大山压着，但实际项目里，你根本不需要为了一个内部报表工具上全家桶。我去年帮朋友改造一个仓库管理系统，原来用Angular写的，光打包就3MB，加载慢得能泡杯咖啡。后来换成Preact，体积缩到十分之一，功能一点没少。关键是团队熟悉什么，而不是什么最潮。别被框架绑架，业务逻辑才是亲爹。

跨端方案更热闹。Flutter、React Native、uni-app打得不可开交，但webapp有个独门优势——不用过审。你改一行代码，用户刷新就看到了，原生App得等审核，运气不好卡你一周。去年有个电商客户，大促前夜发现支付按钮颜色误导用户，webapp端10分钟修完上线，原生App那边还在和审核员扯皮。这种时候，你就知道“随处运行”不是空话。

性能问题永远是刺。别信什么“5G时代不用优化”的鬼话——地铁隧道里没信号，电梯里只有2G，用户可不管你有没有5G手机。图片懒加载、路由分割、骨架屏，这些老办法依然管用。真正恶心的是内存泄漏，单页应用切几个页面就卡成幻灯片，Chrome的Performance面板能查，但多数人懒得查。我习惯在路由切换时手动清理事件监听器，麻烦是麻烦，但总比用户骂娘强。

安全更是重灾区。webapp的XSS攻击比原生App容易得多，一个没转义的输入框就能让人偷走Cookie。最讽刺的是，很多开发者连HTTPS都没配全，还整天吹自己做了“安全防护”。OWASP Top 10你哪怕只读前三章，都能避开80%的坑。今年三月爆出的某开源富文本编辑器漏洞，就是典型的DOM-based XSS，多少大厂中招——别以为用框架就万事大吉，框架只是帮你挡住了一部分，剩下的全靠自己。

说到未来，WebAssembly会把更多桌面级应用拉进浏览器。Figma已经证明了，复杂设计工具完全能在网页里跑。但别指望它能完全替代原生——电池续航、硬件调用深度，这些硬伤没那么容易解决。webapp的定位应该是“够用就好”，而不是“无所不能”。

写webapp就像做一道菜，火候、调料、食材新鲜度都得管。没有银弹，只有持续迭代的耐心。你问我要不要入行？只要浏览器还在，这行就饿不死。但别指望写几个页面就能躺赢，真正的功夫都在看不见的地方——网络请求怎么合并、状态管理怎么设计、错误边界怎么兜底。这些细节，才决定你是码农还是工程师。