如何添加內容安全策略 (CSP)

Question

我想使用 javascript 訪問網站。 但我在控制台中收到以下錯誤。

拒絕連接到“https://example.com”，因為它違反了以下內容安全策略指令：“default-src 'self'”。 請注意，'connect-src' 沒有明確設置，因此 'default-src' 用作后備。

我在 index.html 中添加了以下元標記，

meta http-equiv="Content-Security-Policy" content="connect-src 'self' http://example.com;" />

這不是添加 CSP 的正確方法嗎？ 請幫忙。

Answer 1

您已經使用default-src 'self'策略發布了一個 CSP。 很可能是通過 HTTP header 完成的。
如果是 NodeJS 服務器，請檢查Helmet 中間件設置，如果是 Apache 服務器，請檢查.htaccess文件中Header set的 Header。 在 Nginx 的情況下，它可以是配置中的add_header 。

通過添加<meta>標記，您只需發布第二個 CSP，它不會覆蓋第一個。 2 個 CSP 隨后工作 - 所有源都應通過兩個 CSP。

找出 CSP 的發布位置並添加connect-src 'self' http://example.com; 那里。