Support Content-Security-Policy

快速解答作者 artf❤ 2

好的，那我会试着在下一个版本修复它。

阅读下方完整回答 ↓

问题

为了减少在“敌对”环境中（如SaaS平台）中使用编辑器时可能的攻击面，必须支持CSP。这也能防止类似的问题 https://github.com/artf/grapesjs/issues/3082

目前，唯一阻碍有效 CSP 规则的问题是 GrapesJS 代码中使用了“new Function（）”，这需要 CSP 规则为“unsafe-eval”。

有没有其他实现方式？

回答（4）

👍 最有帮助artf• 2021年8月5日

好的，那我会试着在下一个版本修复它。

artf• 2021年6月24日

嗯，我不太确定具体怎么修复，你说“GrapesJS代码中是否使用新Function（）”是什么意思？因为源代码里没有这个。

aimeos• 2021年6月24日

后来发现它在dist文件里是因为underscore.js template（）方法，它使用了“new Function（）”。我认为这将使得在没有“不安全评估”的情况下替换或移除强制执行CSP的依赖变得困难。

GJSBlock• 2026年5月17日

谢谢你举报，@aimeos。安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。为你现在：运行“npm审计修复”以查看可用的补丁查看是否有更新的GrapesJS版本，可能已经解决了这个问题如有稳定版，升级前先测试最新稳定版如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试理解风险：在GitHub安全公告中查看具体漏洞详情并非所有高严重性问题都会影响你的代码路径某些漏洞仅在特定条件下触发保持最新：关注GrapesJS的新发布订阅仓库的安全通知团队在发布周期中优先考虑安全更新

在 GitHub 上查看完整讨论 →