造成内容安全策略（CSP）违规错误

Question

我试图在测试站点上使用新的内容安全策略（CSP）HTTP头。当我将CSP与Modernizer结合使用时，会出现CSP冲突错误。这是我正在使用的CSP策略：

内容安全策略：默认src“self”；脚本src'self'ajax.googleapis.com ajax.aspnetcdn.com；样式src‘self’；img src“自我”；字体src“self”；报表uri/WebResource.axd？cspReport=true

这些是来自Chrome浏览器控制台的错误：

Refused to apply inline style because it violates the following Content Security Policy directive: "style-src 'self'". 
Either the 'unsafe-inline' keyword, a hash ('sha256-...'), or a nonce ('nonce-...') is required to enable inline execution.

window.Modernizr.injectElementWithStyles   - modernizr-2.7.2.js:134
window.Modernizr.tests.touch               - modernizr-2.7.2.js:457(anonymous function)
modernizr-2.7.2.js:949(anonymous function) - modernizr-2.7.2.js:1406

我在Github Modernizer站点上发现了以下解决方法。然而，这个变通方法是在三月份首次提出的，在谷歌上做一点小动作，我找不到解决这个问题的方法。

我知道我可以包含不安全的内联指令，该指令可以绕过此错误，但这也使不安全代码能够运行，并首先否定CSP的使用。有人有什么解决办法吗？

更新-什么是CSP

CSP是所有主要浏览器（包括Edge）都支持的HTTP标头。本质上，它是浏览器被允许用来呈现页面的内容的白名单。在这里了解更多信息，或者在这里和这里阅读Mozilla的CSP留档。

更新-帮助突出显示CSP

CSP现在可以在所有浏览器上使用（Edge增加了支持，耶！），这是web安全的一个巨大飞跃。对于那些有兴趣获得CSP更多第三方支持的人，请参见以下内容：

1. 对CSP的现代化支持
2. VisualStudio对CSP的支持。请注意，如果启用了CSP，则浏览器链接不起作用，因为它使用内联JavaScript。
3. 对CSP的Visual Studio Web Essentials扩展支持。WebEssentials是一个VisualStudio加载项，其功能通常在下一版本的VisualStudio中结束

Answer 1

我找到了一个无需使用unsece-inline的修复方法。

您可以在一行中修改未最小化的Modernizer：

fakeBody = body || document.createElement('body');

皈依

fakeBody = document.createElement('body');

适用于IE9、Firefox和Chrome。

Answer 2

我怀疑除了重写Modernizer中使用内联代码或动态计算代码（适用于JS和CSS）的部分之外，没有其他解决方案。AngularJS ngCsp的经验在这里可能很有用。