请注意，本文编写于 1646 天前，最后修改于 1416 天前，其中某些信息可能已经过时。

最近基于 strapi 开发了导航站，经过一番折腾决定把静态网页也放到 strapi 项目的 public 让 strapi 又当爹又当妈。

但是发现网页的内联脚本和图片加载不出来，经过一番查询发现是因为默认 strapi 开启了 内容安全策略, 在返回头中加上了 Content-Security-Policy 从而限制浏览器执行内联脚本和加载其他网址的图片。

关闭方法

config/middlewares.js 改为：

module.exports = [
  'strapi::errors',
  {
    name: 'strapi::security',
    config: {
      contentSecurityPolicy: false
    }
  },
  'strapi::cors',
  'strapi::poweredBy',
  'strapi::logger',
  'strapi::query',
  'strapi::body',
  'strapi::favicon',
  'strapi::public'
];

参考链接

Content Security Policy 入门教程