fix(mindspace): guard published pages against blocked CDN scripts

Pre-bundle Chart.js, auto-rewrite common CDN references at publish and serve time, and block unknown external script src during publication scans so interactive dashboards keep working under CSP.

Co-authored-by: Cursor <cursoragent@cursor.com>

skills/page-data-collect/SKILL.md

@@ -164,6 +164,17 @@ CREATE TABLE IF NOT EXISTS survey_responses (
 <script src="/assets/page-data-client.js"></script>
 ```
 
+- **第三方 JS 库**（Chart.js、ECharts 等）禁止写 CDN `https://...`；发布页 CSP 只允许同源脚本。优先用平台预置路径，或下载到 `public/assets/` 后用相对路径引用：
+
+```html
+<!-- 推荐：平台已预置 Chart.js -->
+<script src="/assets/chart.umd.min.js"></script>
+<!-- 或页面自有副本 -->
+<script src="assets/chart.umd.min.js"></script>
+```
+
+平台会在发布/访问时自动把常见 Chart.js CDN 改写为 `/assets/chart.umd.min.js`；其它未知 CDN 会在发布检查中被拦截。
+
 ### 4. 发布并绑定页面（推荐）
 
 用 `private_data_bind_workspace_page` 一步完成：**创建/更新页面记录 → 发布 → 写入 Page Data 策略**。
@@ -258,10 +269,11 @@ CREATE TABLE IF NOT EXISTS survey_responses (
 5. **禁止**创建 `scripts/*-api.mjs`、Express 服务、或监听独立端口（如 `8899`）
 6. **禁止** HTML 中硬编码 `http://127.0.0.1:端口` 或自定义 `/api/survey/*`
 7. **禁止**在 HTML 中使用 `onclick` / `oninput` 等内联事件属性（MindSpace 发布页 CSP 不允许）；改用 `addEventListener`
-8. **禁止**在页面 JS 中直接使用 `better-sqlite3` 或读取 `.sqlite` 文件路径
-9. **禁止**只 `CREATE TABLE` 而不 `private_data_register_dataset`
-10. **禁止**未配置 `private_data_set_page_policy` 就让页面调用公开 API
-11. **禁止**先发布占位页（如 `<p>问卷页面</p>`）再让用户访问 `/u/.../pages/...`
+8. **禁止**用 CDN `https://...` 引用 `<script src>`（发布页 CSP 仅允许同源；Chart.js 用 `/assets/chart.umd.min.js` 或 `public/assets/` 本地文件）
+9. **禁止**在页面 JS 中直接使用 `better-sqlite3` 或读取 `.sqlite` 文件路径
+10. **禁止**只 `CREATE TABLE` 而不 `private_data_register_dataset`
+11. **禁止**未配置 `private_data_set_page_policy` 就让页面调用公开 API
+12. **禁止**先发布占位页（如 `<p>问卷页面</p>`）再让用户访问 `/u/.../pages/...`
 
 ## 交付前自检