拒绝应用内联样式，因为它违反了以下内容安全策略指令：“样式-src'self'”modernizr

Question

我已经在visual studio 2015 professional中创建了新的ASP.NET MVC5项目，并在内容安全策略的布局中添加了元标记，如下所示-

<meta http-equiv="content-security-policy"
  content="default-src 'none'; script-src 'self';
  connect-src 'self'; img-src 'self'; style-src 'self';" />

现在，当我运行我的应用程序，我得到以下错误在chrome浏览器控制台-

拒绝应用内联样式，因为它违反了以下内容安全策略指令：“样式-src'self'”。'unsafe-inline'关键字、散列('sha256-cwe3bg0vyqoidnakbb/btdkhul49qzuwgncmpgny5zw=')或nonce('nonce-...')是启用内联执行所必需的。现代化r-2.6.2.JS:157

modernizr-2.6.2.js:157有6个错误，其中一个与脚本有关，即拒绝加载脚本本地主机

我不认为我有任何内联风格在我的项目，然后为什么CSP拒绝应用错误？

Answer 1

显然，modernizr要么注入一个style元素，带有一些CSS属性，要么注入一些style属性；您可以通过以下更改CSP策略来处理此问题：

<meta http-equiv="content-security-policy"
  content="default-src 'none'; script-src 'self';
  connect-src 'self'; img-src 'self';
  style-src 'self' 'sha256-CwE3Bg0VYQOIdNAkbB/Btdkhul49qZuwgNCMPgNY5zw=';" />