內容安全政策不適用於Ionic服務

Question

在我的index.html我有一個meta標記：

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">

當我運行ionic serve （離子版本為1.6.1）時，出現以下錯誤：

拒絕加載腳本“ HTTP：//本地主機：35729 / livereload.js snipver = 1？ ”，因為它違反了以下內容安全政策指令：“腳本的src‘自我’'不安全內聯‘不安全-EVAL’ HTTP ：// localhost：8100 “

有誰知道如何解決這個問題？

Answer 1

我注意到，您已將script-src設置為self ，這意味着腳本將僅從具有相同來源（主機名）的域中加載。

在Web服務器上運行時，端口號已更改，因為它選擇隨機選擇的端口來運行應用程序。 我對Ionic服務器不了解，但是對於CSP ，我可以得出結論。

在您的情況下， localhost:35729和localhost:8100顯然不同，因此策略標頭阻止了腳本的加載。

要解決此問題，最好為您的應用使用主機名。 另外，如果您通過HTTP response header而不是在meta標記中發送CSP ，則CSP效果更好。 如果您有任何疑問，請告訴我。