加载handlebar.min.js时CSP限制unsafe-eval报错，求无eval解决方案

核心原因 #

Handlebars v4.x默认会用Function()构造函数编译模板，这种动态代码执行属于CSP里被unsafe-eval管控的行为，所以触发了报错。

可行解决方案 #

1. 预编译Handlebars模板（最推荐） #

彻底避免运行时动态编译，完全绕开unsafe-eval限制：

• 用Handlebars CLI提前把所有.hbs模板编译成纯JS文件（编译后的代码不会依赖Function()）
• 编译命令示例：

  handlebars template.hbs -f compiled-template.js
  

• 页面直接引入编译好的JS文件，还能只加载Handlebars的运行时版本（handlebars.runtime.min.js），既缩小体积又降低安全风险。

2. 使用Handlebars的无eval构建版本 #

从v4.7.7开始，Handlebars提供了不依赖eval/Function()的专属构建：

• 替换原版handlebar.min.js为handlebars.noeval.min.js
• 这个版本用静态代码生成替代了动态Function()调用，完全适配禁用unsafe-eval的CSP规则。

3. 降级到Handlebars v3.x（仅应急用） #

v3.x的模板编译逻辑不依赖Function()构造函数，不会触发unsafe-eval的CSP限制，但该版本已停止维护，存在安全隐患，不建议长期使用。

验证方案有效性 #

把CSP规则设置为：

Content-Security-Policy: script-src 'self' 'unsafe-inline';

引入对应处理后的Handlebars文件或预编译模板，确认不再出现EvalError报错且功能正常运行。

内容的提问来源于stack exchange，提问作者amir kat