内容安全策略: 页面的设置阻止加载资源

我在页面加载时使用 验证码，但是由于某些安全原因它被阻塞了。

我正面临着这个问题:

Content Security Policy: The page's settings blocked the loading
of a resource at
http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit
("script-src http://test.com:8080 'unsafe-inline' 'unsafe-eval'").

我使用了以下 JavaScript 和 meta 标记:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
<script src="http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit" async defer></script>
354801 次浏览
小开
最佳答案

您说过您只能从您自己的站点(自己)加载脚本。然后尝试从另一个站点(Www.google.com)加载脚本，由于您限制了这一点，因此无法加载。这就是 内容保安政策(CSP)的全部意义。

您可以将第一行更改为:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval' http://www.google.com">

或者，也许值得完全删除该行，直到您了解更多关于 CSP 的信息。您目前的 CSP 是相当松散的(允许 unsafe-inline，unsafe-eval和 default-src的 *) ，所以它可能不会增加太多的价值，老实说。

小开

我也有类似的错误类型。首先，我尝试在代码中添加 meta 标记，但是没有用。

我发现，在 nginx 网络服务器上，你可能有一个安全设置，可能会阻止外部代码运行:

# Security directives
server_tokens off;
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'  https://ajax.googleapis.com  https://ssl.google-analytics.com https://assets.zendesk.com https://connect.facebook.net; img-src 'self' https://ssl.google-analytics.com https://s-static.ak.facebook.com https://assets.zendesk.com; style-src 'self' 'unsafe-inline' https://assets.zendesk.com; font-src 'self' https://fonts.gstatic.com  https://themes.googleusercontent.com; frame-src https://player.vimeo.com https://assets.zendesk.com https://www.facebook.com https://s-static.ak.facebook.com https://tautt.zendesk.com; object-src 'none'";

检查 Content-Security-Policy。您可能需要添加源引用。

小开

您可以在浏览器中禁用它们。

火狐

在 Firefox 地址栏中键入 about:config，找到 security.csp.enable并将其设置为 false。

铬合金

您可以安装名为 Disable Content-Security-Policy的扩展以禁用 CSP。

小开

由于我的 REL = “ noReferrer”> ASP.NET Core Angular项目在 Visual Studio 2019中运行，有时我会在 Firefox 控制台中收到这个错误消息:

内容安全策略: 页面的设置阻止内联加载资源(“ default-src”)。

在 Chrome 中，错误消息是:

加载资源失败: 服务器响应的状态为404()

在我的例子中，它与我的内容安全策略没有任何关系，而仅仅是我的 TypeScript 错误的结果。

检查 IDE 输出窗口是否有 TypeScript 错误，如:

> ERROR in src/app/shared/models/person.model.ts(8,20): error TS2304: Cannot find name 'bool'.
>
> i ｢wdm｣: Failed to compile.

注意: 因为这个问题是这个错误消息在 Google 上的第一个结果。

小开

我设法允许我的所有必需的网站与这个标题:

header("Content-Security-Policy: default-src *; style-src 'self' 'unsafe-inline'; font-src 'self' data:; script-src 'self' 'unsafe-inline' 'unsafe-eval' stackexchange.com");
小开

你可以通过在 htaccess 中添加代码来修复

<IfModule mod_headers.c>
# Feature-Policy
Header set Feature-Policy "microphone 'none'"
# Referrer-Policy
Header set Referrer-Policy "same-origin"
# Content-Security-Policy
Header set Content-Security-Policy "script-src 'self' 'unsafe-inline' 'unsafe-eval' e.g. https://ajax.googleapis.com https://ssif1.globalsign.com https://malsup.github.io https://seal.globalsign.com https://www.googletagmanager.com https://www.google.com https://www.gstatic.com https://assets.zendesk.com https://chimpstatic.com https://cdn.ywxi.net https://static.hotjar.com https://maxcdn.bootstrapcdn.com https://www.google-analytics.com https://static.zdassets.com https://connect.facebook.net https://script.hotjar.com https://*.livechatinc.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://cdnjs.cloudflare.com https://ajax.googleapis.com;"
# X-XSS-Protection
Header set X-XSS-Protection "1; mode=block"
</IfModule>

提交答案