MERN应用用nodemailer实现忘记密码功能生产环境报CSP错误如何解决？

1. 生产环境配置了严格的Content Security Policy（内容安全策略），style-src规则未允许inline样式执行。你遇到的报错是卡巴斯基安全软件的浏览器扩展向页面注入了inline样式，触发了CSP拦截规则。
2. 代码存在两处潜在隐患：
   • nodemailer传输配置错误，587端口对应STARTTLS协议，secure参数应设为false，当前配置为true可能引发后续邮件发送异常
   • 重置密码链接拼接逻辑依赖环境变量BASE_URL带路径后缀，不同环境配置不一致时容易出现链接错误

• 调整生产环境CSP配置：在style-src指令中添加报错提示的指定哈希值，允许对应的inline样式加载（该方案安全性高于直接开启unsafe-inline）。如果你使用helmet中间件配置CSP，参考修改如下：

app.use(helmet.contentSecurityPolicy({
  directives: {
    styleSrc: [
      "'self'",
      "'sha256-JUCCMgPUsmi3ZsiQj4jAd7Uy7nrvEJzzDwDynfMpvuM='",
      // 保留原有其他允许的样式源配置
    ]
  }
}));

• 修正nodemailer传输配置：

const transporter = nodemailer.createTransport({
  host: process.env.HOST,
  service: process.env.SERVICE,
  port: 587,
  secure: false, // 587端口对应STARTTLS协议，secure设为false
  auth: {
    user: process.env.USER,
    pass: process.env.PASSWORD,
  },
});

• 优化重置链接拼接逻辑，将路径部分硬编码避免环境配置差异引发的问题：

// BASE_URL仅配置域名，例如 https://codermocha.herokuapp.com
const link = `${process.env.BASE_URL}/forgot-password/${user._id}/${token.token}`;

• 临时验证方案：禁用卡巴斯基浏览器扩展后重新点击链接，可快速确认是否为扩展注入导致的报错。

内容的提问来源于stack exchange，提问作者Mocha_