如何在ColdFusion Excel下载页面配置Content-Security-Policy？

问题根源 #

你遇到的混合内容错误，本质是通过按钮跳转发起的导出请求被重定向到了HTTP协议，而当前页面是HTTPS协议。直接访问export.cfm正常，是因为你手动输入的是HTTPS地址，没有触发HTTP重定向。

另外需要明确：导出页面输出的是Excel二进制内容，不是HTML文档，所以你尝试的<meta>标签、cfhtmlhead以及CSP HTTP头都不会生效——浏览器处理二进制文件时，不会解析HTML元标签，CSP策略也只针对网页资源加载，和文件下载请求无关。

解决方案 #

1. 修正跳转URL，强制使用HTTPS #

把view.cfm里的跳转代码改成绝对HTTPS路径，避免浏览器用HTTP发起请求：

window.location = 'https://你的域名/folder/export.cfm?ID=' + ID;

或者用协议相对路径（兼容HTTPS/HTTP，但推荐直接写HTTPS）：

window.location = '//你的域名/folder/export.cfm?ID=' + ID;

2. 检查export.cfm内部的重定向逻辑 #

如果export.cfm里有<cflocation>之类的重定向代码，确保目标URL是HTTPS协议，或者使用相对路径（避免硬编码HTTP地址）。比如：

<!-- 错误示例：硬编码HTTP -->
<cflocation url="http://你的域名/folder/xxx.cfm" addtoken="false">

<!-- 正确做法：用HTTPS绝对路径或相对路径 -->
<cflocation url="https://你的域名/folder/xxx.cfm" addtoken="false">
<!-- 或者相对路径 -->
<cflocation url="/folder/xxx.cfm" addtoken="false">

3. 服务器层面强制HTTPS（彻底解决） #

在Web服务器（IIS/Apache/Nginx）配置全局重写规则，把所有HTTP请求自动重定向到HTTPS，从根源避免混合内容问题：

• Nginx示例：

  server {
      listen 80;
      server_name 你的域名;
      return 301 https://$server_name$request_uri;
  }
  

• Apache示例：

  RewriteEngine On
  RewriteCond %{HTTPS} off
  RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
  

• IIS：通过URL重写模块添加类似规则，将HTTP请求重定向到HTTPS。

内容的提问来源于stack exchange，提问作者Nicholas