Electron 內容安全策略 - 允許本地主機 API 調用

Question

我目前正在開發一個 Electron 應用程序，它與分離的 Node.js 進程一起工作。 上述進程將其 API 暴露在本地主機上，應用程序稍后必須與之對話。 它在某種程度上是應用程序和基礎設施之間的代理。

問題是我當前的 CSP 設置不允許渲染器進程對 API 執行任何類型的請求，我一直在尋找解決方案，而我偶然發現的唯一一個是在主進程中進行 API 調用，然后發送結果通過 IPC 返回給渲染器。

所以簡而言之 - 是否有任何content-security-policy設置會限制所有資源加載，就像我使用default-src: 'self'除了給定端口上的 localhost 一樣？ 我知道如何允許其他域，例如 CDN，但我的問題更多是關於我是否可以阻止除本地計算機上的 API 調用之外的所有內容。

Answer 1

如果你只想允許本地機器上的 API 調用，你可以將策略設置為“default-src 'self'; connect-src localhost;”，但如果它與當前源和端口不同，你可能必須指定方案如果不是默認的。