Вопрос по CORS при встраивании в Blogspot

[DonH]

После того как мы внедрили наш новый блог Ghost (на том же домене), один из наших участников спросил, можно ли сделать то же самое с его блогом на Blogspot. Я пробовал, но смог продвинуться только до этого:

Разрешённые хосты:

Встроенный скрипт:

<script type="text/javascript">
DiscourseEmbed = { discourseUrl: 'https://forum.rosehybridizers.org/',
			     discourseEmbedUrl: '{{url absolute="true"}}' };
(с и без discourseReferrerPolicy: 'strict-origin-when-cross-origin'};)

(function() {
var d = document.createElement('script'); d.type = 'text/javascript'; d.async = true;
d.src = DiscourseEmbed.discourseUrl + 'javascripts/embed.js';
(document.getElementsByTagName('head')[0] || document.getElementsByTagName('body')[0]).appendChild(d);
</script>  

CORS включён через App.yml:

DISCOURSE_ENABLE_CORS: true

Я также пробовал с

DISCOURSE_CORS_ORIGIN: ‘*’

после чего каждый раз перезапускал приложение (destroy/start).

Разрешённый источник:

Обе эти настройки включены:

Enable Content-Security-Policy
и
Restrict who can embed this site in iframes via CSP.

В консоли Jscript отображается:

Любая помощь будет очень признательна.

[Falco]

@DonH

discourseEmbedUrl: '{{url absolute="true"}}' };

Это неверно, так как {{url absolute="true"}} не заменяется до выполнения кода.

Также, возможно, стоит ограничить загрузку кода комментариев Discourse только страницами статей, а не главной страницей.