Content-Security-Policy限制致Axios脚本加载失败，加Meta头仍报错求助

问题现象 #

拒绝加载脚本'https://cdnjs.cloudflare.com/ajax/libs/axios/0.18.0/axios.min.js'，原因是它违反了以下Content Security Policy指令："script-src 'self'"。注意'script-src-elem'未明确设置，因此使用'script-src'作为回退。

页面中引入的脚本：

script(src='https://cdnjs.cloudflare.com/ajax/libs/axios/0.18.0/axios.min.js')

尝试添加Meta头后仍报错：

meta(http-equiv='Content-Security-Policy' content="script-src 'self' https://cdnjs.cloudflare.com/ 'unsafe-inline' 'unsafe-eval'")

解决方法 #

• 优先排查服务器端CSP响应头：浏览器会优先采用服务器发送的Content-Security-Policy响应头，若服务器已设置更严格的规则，你添加的meta标签会直接失效。打开浏览器F12的「网络」面板，找到页面主请求，查看响应头里是否存在Content-Security-Policy或Content-Security-Policy-Report-Only字段，存在的话必须修改服务器的CSP配置，将https://cdnjs.cloudflare.com加入script-src允许列表。
• 调整meta标签位置：把CSP的meta标签放在<head>标签最顶部，确保在所有<script>标签之前加载，避免脚本在CSP规则生效前就开始加载触发错误。
• 验证域名格式：可尝试将https://cdnjs.cloudflare.com/改为https://cdnjs.cloudflare.com，确保域名匹配无格式问题。

内容的提问来源于stack exchange，提问作者Tarun U M