Electron中https/node-fetch模块找不到，无法获取远程密钥文件

核心问题拆解 #

1. 模块找不到错误：预加载脚本直接调用require('https')或node-fetch失败，是因为Electron默认开启上下文隔离（contextIsolation），Node.js模块不会自动暴露给渲染进程，必须显式配置通信桥梁。
2. CSP限制问题：渲染进程用window.fetch或XHR被拦截，是因为网页内容安全策略未允许目标域名的网络请求。

分步解决方法 #

1. 推荐方案：主进程代理网络请求（符合安全最佳实践） #

Electron官方建议让主进程处理网络操作，预加载脚本仅做渲染进程与主进程的通信中转，避免渲染进程直接接触Node.js API。

修改main.js，添加IPC通信逻辑

const { app, BrowserWindow, ipcMain } = require('electron');
const path = require('path');
const https = require('https'); // Node.js内置模块，无需额外安装

function createWindow() {
  const mainWindow = new BrowserWindow({
    width: 800,
    height: 600,
    webPreferences: {
      contextIsolation: true, // 保持上下文隔离开启（安全要求）
      preload: path.join(__dirname, 'gate.js')
    }
  });

  // 监听渲染进程的请求，主进程发起网络调用
  ipcMain.handle('fetch-valid-keys', async () => {
    return new Promise((resolve, reject) => {
      https.get('https://example.com.tr/validkeys.txt', (res) => {
        let rawData = '';
        res.on('data', (chunk) => { rawData += chunk; });
        res.on('end', () => { resolve(rawData); });
      }).on('error', (err) => {
        reject(`请求失败: ${err.message}`);
      });
    });
  });

  mainWindow.loadFile('gate.html');
}

app.whenReady().then(createWindow);

修改gate.js预加载脚本，暴露安全API到渲染进程

const { contextBridge, ipcRenderer } = require('electron');

// 安全暴露通信接口到渲染进程的window对象
contextBridge.exposeInMainWorld('electronAPI', {
  fetchValidKeys: () => ipcRenderer.invoke('fetch-valid-keys')
});

修改gate.html，调用预加载脚本提供的API

<!DOCTYPE html>
<html>
<head>
  <!-- 保持严格CSP，无需放宽网络规则（主进程代理请求） -->
  <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">
</head>
<body>
  <script>
    // 调用API获取密钥数据
    window.electronAPI.fetchValidKeys()
      .then(keys => {
        console.log('获取到的密钥:', keys);
        // 这里添加密钥处理逻辑
      })
      .catch(err => {
        console.error('请求出错:', err);
      });
  </script>
</body>
</html>

2. 临时测试方案：禁用上下文隔离（不推荐生产环境） #

如果只是测试需要，可关闭上下文隔离直接在预加载脚本使用Node.js模块，但会降低应用安全性：

修改main.js的webPreferences配置：

webPreferences: {
  contextIsolation: false,
  nodeIntegration: true, // 配合关闭上下文隔离开启Node集成
  preload: path.join(__dirname, 'gate.js')
}

之后gate.js可直接require('https')发起请求，但此方式存在安全风险，不建议用于生产环境。

3. 渲染进程直接请求的CSP调整（仅当必须时使用） #

若坚持在渲染进程用fetch/XHR，需修改CSP规则允许目标域名：

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'; connect-src 'self' https://example.com.tr">

注意：此方式仅解决CSP问题，渲染进程仍无法直接访问Node.js模块，若需Node能力仍推荐主进程代理。

关键注意点 #

• https是Node.js内置模块，无需通过npm install安装，之前的安装操作属于冗余操作。
• node-fetch若需使用，应在主进程安装并调用，预加载脚本通过IPC桥接调用，而非在渲染进程直接引入。
• 始终保持上下文隔离开启是Electron的安全最佳实践，能有效防范XSS攻击导致的权限泄露。

内容的提问来源于stack exchange，提问作者huscancelikkol