解决vue-pdf-embed在严格CSP策略下的PDF加载问题

在使用vue-pdf-embed库时，当内容安全策略(CSP)被严格配置且未包含'unsafe-eval'指令时，可能会遇到PDF文档无法加载的问题。本文将深入分析这一问题的成因，并提供可行的解决方案。

问题现象

当应用程序启用了严格的内容安全策略(CSP)，特别是当script-src指令中未包含'unsafe-eval'时，vue-pdf-embed在尝试加载PDF文档时会抛出以下错误：

Content-Security-Policy: The page's settings blocked the loading of a resource at eval ("script-src")
EvalError: call to Function() blocked by CSP

这个错误表明浏览器阻止了PDF加载过程中需要的某些JavaScript执行操作，因为这些操作违反了CSP策略。

问题根源

该问题的根本原因在于PDF.js（vue-pdf-embed底层使用的PDF渲染库）在某些情况下需要使用Function构造函数来动态生成代码。在严格CSP策略下，这种动态代码执行是被明确禁止的，因为它可能带来安全风险。

解决方案

1. 使用vue-pdf-embed的Essential构建

较新版本的vue-pdf-embed提供了Essential构建选项，它通过Web Worker来加载PDF，可以减少对eval的需求。这是推荐的解决方案，因为它既保持了安全性又解决了问题。

2. 调整CSP策略（临时方案）

对于仍在使用旧版本(v1.x)的用户，可以临时调整CSP策略：

Content-Security-Policy: script-src 'self' 'unsafe-eval'; img-src 'self' blob: data:;

这个配置做了两处关键修改：

1. 在script-src中添加了'unsafe-eval'，允许动态代码执行
2. 在img-src中添加了blob:和data:，允许PDF渲染生成的图像数据

安全提示：使用'unsafe-eval'会降低应用的安全性，应仅作为临时解决方案。长期来看，应升级到支持Web Worker的版本。

最佳实践建议

1. 升级到最新版本：尽可能升级到vue-pdf-embed的最新版本，使用其Essential构建功能
2. 最小权限原则：如果必须使用'unsafe-eval'，应将其限制在仅需要加载PDF的特定页面
3. 定期检查：对使用'unsafe-eval'的页面进行定期检查，确保没有引入其他安全风险
4. 考虑替代方案：评估是否可以使用服务器端PDF渲染作为替代方案

通过理解这些解决方案及其安全影响，开发者可以在功能需求和安全性之间做出明智的平衡选择。