内容安全策略 (CSP) 不适用于 style-src self

Question

我想要我的 angular 应用程序的内容安全性，但是如果我编写以下内容安全性：

<meta http-equiv="Content-Security-Policy" 
      content="
      default-src 'none'; 
      img-src 'self'; 
      font-src 'self'; 
      connect-src 'self'; 
      script-src 'self'; 
      style-src 'self'; 
      trusted-types angular angular#unsafe-bypass; 
      object-src 'none'">

但是用 s风格-src 'self' ; 我创建的组件有很多错误。 我做了一些研究，发现问题https://github.com/angular/angular/issues/6361

这意味着唯一的解决方案是使用？ 还是误会了什么？

 style-src 'self' 'unsafe-inline';

Answer 1

我已经配置我的 CSP 几天了，似乎 Angular 需要 unsafe-inline 并且在短期内不太可能改变。

这个angular问题讲一下。 https://github.com/angular/angular-cli/issues/3430 https://github.com/angular/angular-cli/issues/12378