如何禁用所有外置API与远程加载项_全内网隔离化安全部署-phpMyAdmin-PHP中文网

前端资源彻底不发网络请求需三层面堵死：构建时剥离远程依赖并检查包逻辑；运行时用CSP+脚本覆盖禁用连接；静态资源全内联。Node.js需patch http模块、清查依赖。Electron须禁用nodeIntegration并拦截外网请求。

如何让前端资源彻底不发任何网络请求

浏览器加载页面时，默认会尝试加载所有声明的外部资源：script、link[rel="stylesheet"]、img、iframe，甚至 css 里的 url() 和 js 中的 fetch/xmlhttprequest。全内网部署下，只要有一处漏掉，就可能触发 dns 查询或 tcp 连接失败，暴露环境特征或引发超时阻塞。

实操上不能只靠“不写外链”，得从三层面堵死：

构建时剥离所有远程依赖：用 Webpack/Vite 的 externals 配置把 axios、lodash 等包打成空对象，或直接替换为本地打包副本；检查 package.json 中的 dependencies 是否含带网络调用逻辑的库（比如某些 SDK 自动上报）
运行时拦截：在 HTML 顶部插入 <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'; connect-src 'none'; img-src 'self' data:;">，强制禁止 fetch、WebSocket、new Image() 等发起连接
静态资源兜底：把所有字体、图标、图片转成 data: URI 或 base64 内联；CSS 中避免 @import url(...)，改用构建时合并

Node.js 后端如何关闭所有出向 HTTP 客户端行为

Node.js 服务即使没主动写 https.request，也可能被依赖偷偷调用：日志上报、健康检查探针、配置中心 SDK、甚至某些 ORM 的自动版本提示。禁用必须从进程级下手。

最可靠方式是启动时加 --no-http-parser 不起作用，真正有效的是：

用 process.env.NODE_OPTIONS='--no-warnings' 仅隐藏提示，不解决问题；应改用 process.env.HTTP_PROXY='' + process.env.NO_PROXY='*' 阻断代理链路

重写全局 require，在入口文件最顶部 patch http 和 https 模块：

const http = require('http'); http.request = http.get = () => { throw new Error('Outbound HTTP disabled'); };

检查 node_modules 中是否含 got、node-fetch、axios —— 它们默认走系统代理，且部分版本不响应 NO_PROXY，需在代码中显式配置 agent: false 或直接删掉依赖

为什么 CSP 的 `connect-src 'none'` 在某些浏览器里不生效

connect-src 'none' 是理想写法，但 Chrome 110+ 才完全支持 'none' 关键字；旧版 Chrome、Firefox 会把它当语法错误而忽略整条策略。更麻烦的是，Safari 对 connect-src 的覆盖范围比标准窄：它不管 fetch，但管 XMLHttpRequest，而 WebSocket 则完全不受控。

稳妥方案不是赌关键字兼容性：

用 connect-src 'self' data: 替代 'none'，再配合服务端不提供任何可被 fetch 的接口路径

对关键页面额外注入脚本，覆盖原生构造函数：

window.fetch = window.WebSocket = window.XMLHttpRequest = () => { throw new Error('Network access blocked'); };

内网网关层同步做出口防火墙策略，丢弃所有非 127.0.0.1 / 10.0.0.0/8 / 192.168.0.0/16 的 TCP 连接，形成双重保险

Electron 应用怎样防止渲染进程偷偷连外网

Electron 渲染进程本质是 Chromium，但默认允许 nodeIntegration: true，这意味着 JS 可直接调用 require('child_process').exec('curl') 或读取本地 hosts 文件绕过 CSP。光靠前端策略远远不够。

必须组合设置：

主进程创建窗口时强制关闭高危能力：

webPreferences: { nodeIntegration: false, contextIsolation: true, sandbox: true, webSecurity: true }

在 session.webRequest.onBeforeRequest 中拦截所有非内网域名请求：

if (!/^(10\.|192\.168\.|127\.|localhost)/.test(details.url)) { return { cancel: true }; }

禁用 chrome://dino 等内置页访问：通过 app.commandLine.appendSwitch('disable-features', 'ChromeHome') 减少攻击面

内网隔离不是加个开关就能完事——每个模块的“默认开启”行为都得手动关一遍，而且得验证关没关干净。最容易被忽略的是开发时留下的 console.log 里带的调试 URL、source map 文件里的原始路径、甚至 build 工具自动生成的 webpack:// 协议请求。真要锁死，就得把整个产物当成黑盒，用抓包工具跑一遍所有操作路径。