内容安全策略有问题
所以我一直在尝试使用一个谷歌可编程搜索引擎脚本，但我在元标记方面遇到了问题。我在my中包含的meta标记如下所示：
<meta http-equiv="Content-Security-Policy" content="script-src *.google.com 'self';">
但是，我仍然收到一个错误，告诉我它拒绝加载脚本，因为它违反了“内容安全策略指令：“script src'self'”
我想知道它是否从其他地方继承了一些设置，因为它不接受我正在设置的新脚本src，但是如果我将其设置为“无”，它会接受新脚本src。
顺便说一下，我对html非常陌生，所以我可能犯了一些明显的错误。
共有1个答案
看起来您已经发布了2个内容-安全-策略。如果有多个CSP，则两个CSP都适用最严格的规则（所有源/令牌都应通过两个CSP无划痕地传递）。
内容安全策略可以通过两种方式提供：
- 通过HTTP头
内容安全策略：（首选项） - 通过元标记（受限可能性）
所以你需要检查双
-
内容安全策略 CSP（Content Security Policy）即内容安全策略，主要目标是减少、并有效报告 XSS 攻击，其实质就是让开发者定制一份白名单，告诉浏览器允许加载、执行的外部资源。即使攻击者能够发现可从中注入脚本的漏洞，由于脚本不在白名单之列，浏览器也不会执行该脚本，从而降低客户端遭受 XSS 攻击风险。 默认配置下，CSP 甚至不允许执行内联代码 (<script> 块内容，内
-
CSP(内容安全策略) CSP(Content Security Policy) 即内容安全策略，主要目标是减少、并有效报告 XSS 攻击，其实质就是让开发者定制一份白名单，告诉浏览器允许加载、执行的外部资源。即使攻击者能够发现可从中注入脚本的漏洞，由于脚本不在白名单之列，浏览器也不会执行该脚本，从而达到了降低客户端遭受 XSS 攻击风险和影响的目的。 默认配置下，CSP 甚至不允许执行内联代码
-
在我的页面上，我给出了层次结构： 内部框架带有给定的标题 看起来一切都是正确的，但我在chrome中遇到了这样的错误（ff中也有错误）： 拒绝展示https://app.domain.training/path'在帧中，因为祖先违反以下内容安全策略指令：“帧祖先app.domain.training proxy.domain.training domain.training*.domain.tra
-
嗨，我目前是一个初学者在编码和我试图检查我的网站在线与filezilla的问题，我有一个事实，当我上传它在服务器上我得到这个错误： 我的索引文件中给出错误的代码： 有人能解决我的问题吗？
-
问题内容： 我在开发人员控制台中收到很多错误： 拒绝评估字符串 拒绝执行内联脚本，因为它违反了以下内容安全策略指令 拒绝加载脚本 拒绝加载样式表 这是怎么回事？内容安全策略如何工作？如何使用HTTP标头？ 具体来说，如何… …允许多个来源？ …使用不同的指令？ …使用多个指令？ …处理端口？ …处理不同的协议？ …允许的协议？ …使用内联样式，脚本和标签以及？ …允许吗？ 最后： 到底是什么意思？
-
我正在从chargebee.com加载外部脚本，并在控制台中收到此错误消息： [仅报告]拒绝执行内联脚本，因为它违反了以下内容安全策略指令：“script src'nonce VVZ V0c=''self'https://maps.googleapis.com https://domain.chargebeestatic.com http://dgkxwewtzsnml.cloudfront.ne