由于内容安全策略的限制，我无法在着陆页插件中让脚本标签正常工作

[awesomerobot (Kris)]

此帖子中的一些信息可能有所帮助：Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP 和第三方集成

在使用 Google Tag Manager、Google Analytics 或广告服务等第三方服务时，您可能需要调整 CSP 设置。在大多数情况下，对于 Discourse 3.3.0.beta1 或更高版本，由于实现了“strict-dynamic”CSP，外部脚本应无需额外配置即可正常工作。

如果遇到问题，您可能需要：

1. 通过监控浏览器控制台来识别所需的脚本来源
2. 将必要的来源添加到 content_security_policy_script_src 设置中
3. 对于加载外部资源的复杂集成（如广告服务），您可能需要启用跨域渲染（discourse-adplugin 的示例 PR 进行了此操作）。

最佳实践

1. 从 CSP Report-Only 模式开始，以识别潜在问题
2. 在解决合法的违规行为时，逐步收紧您的 CSP
3. 定期审查您的 CSP 设置并根据需要进行调整
4. 添加 'unsafe-eval' 或 'wasm-unsafe-eval' 等宽松指令时要小心
5. 保持您的 Discourse 实例更新，以受益于最新的 CSP 改进