添加多个哈希不适用于内容安全策略

Question

我有一个 Blazor 服务器端应用程序，我在_Host.cshtml的<head>添加了以下内容：

<meta http-equiv="Content-Security-Policy" 
      content="base-uri 'self';
               default-src 'self';
               img-src data: https:;
               object-src 'none';
               script-src 'self';
               style-src 'self' 'unsafe-inline';
               upgrade-insecure-requests;">

我最初是在控制台中报告的所有哈希值。 但是仍然报错。 我不得不删除哈希并添加unsafe-inline 。 我宁愿使用哈希值。

我错过了什么？

Answer 1

哈希很可能用于内联事件属性，例如 onclick、onload 等。这些不能被哈希，但浏览器无论如何都会在错误中提供它们。 您将需要使用事件侦听器重写。