如何添加内容安全策略（CSP）
我想使用javascript访问一个网站。但我在控制台中遇到以下错误。
拒绝连接到'https://example.com'因为它违反了以下内容安全策略指令：“default src'self'”。请注意，未显式设置“connect src”，因此使用“default src”作为回退。
我在index.html中添加了以下meta标记，
元超文本传输协议-Equiv="内容-安全-策略"内容="连接-src'自我'http://example.com；"/
这不是添加CSP的正确方法吗？请帮忙。
共有1个答案
您已经有一个CSP使用默认src“self”策略发布。很可能是通过HTTP标头完成的。
如果是NodeJS服务器，请检查头盔中间件设置；如果是Apache服务器，请检查.htaccess文件中的标头设置。对于Nginx，它可以是配置中的add_header。
通过添加
找出CSP发布的位置，并在那里添加连接src'自己'http://example.com；。
-
CSP(内容安全策略) CSP(Content Security Policy) 即内容安全策略，主要目标是减少、并有效报告 XSS 攻击，其实质就是让开发者定制一份白名单，告诉浏览器允许加载、执行的外部资源。即使攻击者能够发现可从中注入脚本的漏洞，由于脚本不在白名单之列，浏览器也不会执行该脚本，从而达到了降低客户端遭受 XSS 攻击风险和影响的目的。 默认配置下，CSP 甚至不允许执行内联代码
-
问题内容： 我在开发人员控制台中收到很多错误： 拒绝评估字符串 拒绝执行内联脚本，因为它违反了以下内容安全策略指令 拒绝加载脚本 拒绝加载样式表 这是怎么回事？内容安全策略如何工作？如何使用HTTP标头？ 具体来说，如何… …允许多个来源？ …使用不同的指令？ …使用多个指令？ …处理端口？ …处理不同的协议？ …允许的协议？ …使用内联样式，脚本和标签以及？ …允许吗？ 最后： 到底是什么意思？
-
内容安全策略 CSP（Content Security Policy）即内容安全策略，主要目标是减少、并有效报告 XSS 攻击，其实质就是让开发者定制一份白名单，告诉浏览器允许加载、执行的外部资源。即使攻击者能够发现可从中注入脚本的漏洞，由于脚本不在白名单之列，浏览器也不会执行该脚本，从而降低客户端遭受 XSS 攻击风险。 默认配置下，CSP 甚至不允许执行内联代码 (<script> 块内容，内
-
在我的页面上，我给出了层次结构： 内部框架带有给定的标题 看起来一切都是正确的，但我在chrome中遇到了这样的错误（ff中也有错误）： 拒绝展示https://app.domain.training/path'在帧中，因为祖先违反以下内容安全策略指令：“帧祖先app.domain.training proxy.domain.training domain.training*.domain.tra
-
开发人员控制台中出现了一系列错误： 拒绝计算字符串 拒绝执行内联脚本，因为它违反了以下内容安全策略指令 拒绝加载脚本 拒绝加载样式表 这是怎么回事？内容安全策略（CSP）是如何工作的？如何使用HTTP头？ 具体来说，如何。。。 …允许多个源？ …使用不同的指令？ …使用多个指令？ …处理端口？ …处理不同的协议？ …允许协议？ …使用内联样式、脚本和标记
-
在讲解Chrome扩展的安全策略时，提到过其不允许inline-script，默认也不允许引用外部的JavaScript文件，而Chrome应用使用了更加严格的限制。 Chrome扩展和应用都使用了CSP（Content Security Policy）声明可以引用哪些资源，虽然之前我们并没有涉及到CSP的内容，但是Chrome扩展和应用会在我们创建时提供一个默认的值，对于Chrome扩展来说是s