在 PyScript 开发过程中，我们常常需要加载外部的 Python 脚本、数据文件或者依赖库来扩展功能，但是浏览器自带的安全机制会对文件加载行为做严格约束，不遵循规则很容易出现加载失败的问题。了解这些安全规则并采用正确的加载方式，才能在保障安全的前提下顺利使用外部文件。
PyScript 加载外部文件的常见场景
实际开发中，PyScript 加载外部文件的需求主要分为三类：
- 加载外部的 Python 脚本文件，复用已有的代码逻辑
- 读取外部的 JSON、CSV 等数据文件，做数据处理和展示
- 引入第三方的 Python 依赖包，补充内置库没有的功能
核心安全限制规则
同源策略
浏览器默认只允许加载和当前页面同源的外部资源，同源指的是协议、域名、端口完全一致。如果加载不同源的文件，且没有对应的权限配置，请求会被直接拦截。
CORS 跨域资源共享
如果确实需要加载跨域的外部文件，目标服务器需要配置 CORS 响应头，允许当前页面的域名访问资源。常见的允许头包括Access-Control-Allow-Origin，可以设置为具体的域名或者通配符，但生产环境不建议使用通配符避免安全风险。
本地文件限制
直接用本地文件协议打开包含 PyScript 的 HTML 页面时，浏览器会施加更严格的安全限制，很多外部文件加载请求会被禁止，因此本地开发时建议使用本地服务器运行页面。
安全加载外部文件的实现方案
加载外部 Python 脚本
如果外部脚本和页面同源，可以直接通过<py-script>标签的 src 属性加载，示例代码如下：
<!DOCTYPE html>
<html lang="zh-CN">
<head>
<meta charset="UTF-8">
<title>PyScript 加载外部脚本</title>
<link rel="stylesheet" href="https://pyscript.net/latest/pyscript.css" />
<script defer src="https://pyscript.net/latest/pyscript.js"></script>
</head>
<body>
<!-- 加载同源目录下的 utils.py 脚本 -->
<py-script src="./utils.py"></py-script>
<py-script>
# 调用外部脚本中定义的函数
from utils import calculate_sum
result = calculate_sum(1, 2)
print(result)
</py-script>
</body>
</html>
如果外部脚本跨域，需要目标服务器配置 CORS，允许当前页面域名访问，否则加载会失败。
读取外部数据文件
读取同源的数据文件可以使用 PyScript 内置的js模块调用浏览器的 Fetch API，示例代码如下：
import json
from js import fetch, JSON
async def load_data():
# 加载同源的 data.json 文件
response = await fetch("./data.json")
# 解析响应为 JSON 对象
data_js = await response.json()
# 转换为 Python 字典
data = JSON.stringify(data_js)
data_dict = json.loads(data)
print(data_dict)
# 运行异步函数
import asyncio
asyncio.ensure_future(load_data())
引入第三方依赖
PyScript 支持通过<py-env>标签声明需要的第三方依赖，这些依赖会从官方仓库或者指定的安全源加载，示例代码如下：
<!DOCTYPE html>
<html lang="zh-CN">
<head>
<meta charset="UTF-8">
<title>PyScript 引入依赖</title>
<link rel="stylesheet" href="https://pyscript.net/latest/pyscript.css" />
<script defer src="https://pyscript.net/latest/pyscript.js"></script>
<py-env>
- numpy
- pandas
</py-env>
</head>
<body>
<py-script>
import numpy as np
arr = np.array([1, 2, 3])
print(arr.mean())
</py-script>
</body>
</html>
安全风险和规避方法
- 不要加载来源不明的外部文件，避免引入恶意代码导致用户信息泄露或者页面被篡改
- 生产环境配置 CORS 时，不要使用
Access-Control-Allow-Origin: *通配符，应该指定具体的可信域名 - 本地开发时尽量使用 http-server、live-server 等本地服务器工具运行页面，不要用本地文件协议直接打开 HTML 文件
- 加载外部文件后可以做基础的合法性校验，比如检查文件格式、内容结构是否符合预期，避免异常内容导致程序出错
本地开发和生产环境的差异
本地开发时可以使用相对宽松的 CORS 配置，方便调试，但是部署到生产环境后必须收紧安全策略，只开放必要的域名和文件访问权限。如果生产环境需要加载用户上传的外部文件，还需要额外做文件类型校验、病毒扫描等处理，防止恶意文件被加载执行。
注意：PyScript 的运行依赖浏览器的安全机制，所有外部文件加载操作都必须符合浏览器的安全规则，不能试图绕过限制，否则会引发安全问题或者功能异常。
PyScript外部文件加载安全策略Python_web跨域限制修改时间：2026-07-06 12:51:30