内容安全策略冲突

Question

在我的页面上，我给出了层次结构：

Page - http://179.15.31.103/path

|- frame - //proxy.domain.training/path 

    |- frame - https://app.domain.training/path

内部框架带有给定的标题

Content-Security-Policy:frame-ancestors app.domain.training proxy.domain.training domain.training *.domain.training 179.15.31.103 

看起来一切都是正确的，但我在chrome中遇到了这样的错误（ff中也有错误）：

拒绝展示https://app.domain.training/path'在帧中，因为祖先违反以下内容安全策略指令：“帧祖先app.domain.training proxy.domain.training domain.training*.domain.training 179.15.31.103”。

我认为这可能是因为https，但我无法检查它。

Answer 1

我建议将URL方案放在您的Content-Security-策略标头中的域之前。您可能最终不得不两次指定域来覆盖超文本传输协议和https，但它似乎确实解决了问题。

我面临着类似的问题；如果父页面是通过普通的http提供的，而iframed页面是通过包含父域但没有URL方案的CSP头提供的，Firefox和Chrome都会给出您引用的错误。

我在Pale Moon（Firefox叉子）的发行说明中找到了关于为什么会发生这种情况的最大线索：

26.5.0（2016-09-28）修复/更改：

实施了突破性的CSP（内容安全策略）规范更改；当通过http加载带有CSP的页面时，Pale Moon现在会将CSP指令解释为也包括CSP中列出的主机的https版本（如果未明确列出方案（http/https））。这与CSP1.0不同，后者限制性更强，不允许这种跨协议访问，但与CSP2一致，后者允许这种访问。

https://www.palemoon.org/releasenotes-archived.shtml

然而，Pale Moon 26.5.0的行为似乎仍然与Firefox和Chrome类似。

斯科特·赫尔姆也在博客上讨论了Safari的类似问题，但听起来现在这个问题已经解决了。

另一件需要注意的事情是框架页面是否也提供X-Frame-Options标头。我相信火狐和Safari是唯一支持这个标题和CSP的框架祖先标题的浏览器，当然在火狐的例子中，X-Frame-Options似乎占据了优先地位。使用X-Frame-Options ALLOW-from，您只允许指定一个URI，因此您可能需要根据您的需要为不同的浏览器更改标题。