code.bdstatic.com/npm 能自动更新吗？

[iqoo]

国内常见的 unpkg.com 的镜像站有 npm.elemecdn.com 和 code.bdstatic.com/npm 。饿了么的站点能自动同步相应版本的 NPM 包文件，而百度的站点只能同步最初几个版本的 NPM 包，之后新版本的包就无法同步了。有人知道如何更新吗？

[laozhoubuluo]

https://code.bdstatic.com/npm 之前在 V2EX 发过推广贴 https://www.v2ex.com/t/521411

不知道 @otakustay 现在还是否有条件维护了，毕竟这个推广贴距今已经三年多了。

[otakustay]

@laozhoubuluo #1 简单来说，因为国家对内容的要求太高了，我这边也没有足够强的自动分析内容的能力，所以现在同步是停着的。后续的计划是把热门的、安全的库做自动更新，其余的考虑有界面来按需处理

[iqoo]

@otakustay 请求头 sec-fetch-mode = navigate 或 referer 为空的请求直接屏蔽，可解决大部分内容安全问题。毕竟 CDN 的内容都是被页面引用的，直接访问 CDN 资源的场合是极少数。

这样就算内容有问题，也得被某个页面引用才能体现出来。这种时候责任属于那个页面的站点。

[otakustay]

@iqoo #3 不，在监管部门眼里责任属于我们……

[iqoo]

@otakustay 出现“有害内容”的地址栏域名是哪个，就是那个站点的责任。直接地址栏访问的看不到内容，通过第三方页面引入能看到内容，那就是第三方页面通过技术手段让内容显示出来了，责任自然是第三方页面。至于这个页面是引用哪个资源出现该内容，一般是不管的。

直接地址栏访问 CDN 地址看不到内容，这样就失去了传播性。没有传播途径，风险就微乎其微了。比如 OSS CDN 访问所有资源都会加上 content-attachemnt 头，只能弹出下载框，无法直接在浏览器里显示。这样就大幅减少在线预览内容的情况了。

[otakustay]

@iqoo #5 你谈的是技术风险，但人家是政策和政治，对象存储现在都有自动扫描，你的 CDN 里有一张黄图，不管最后有没有被人看到，最后都会把你整个端掉，没法谈啊……