如何在Chrome插件中向content_security_policy添加多个域？

Question

我正在开发一个Chrome插件，其中从多个域加载外部脚本。我查看了文档和一些关于如何允许这些域的教程。

我检查过的文档：

• http://developer.chrome.com/extensions/contentSecurityPolicy.html
• http://www.html5rocks.com/en/tutorials/security/content-security-policy/
• http://dvcs.w3.org/hg/content-security-policy/raw-file/tip/csp-specification.dev.html#syntax

这一切都是相同的，我在manifest.json中创建了这个规则：

{
  // .. general settings
  "content_security_policy": "script-src 'self' https://ajax.googleapis.com http://mysite.com; object-src 'self'"
}

对此Chrome，请回复以下内容：

Could not load extension from '/Users/itarato/Desktop/DRC Tutorial Client'. 
Invalid value for 'content_security_policy': Both 'script-src' and 'object-src' directives must be specified (either explicitly, or implicitly via 'default-src'), and both must whitelist only secure resources. 
You may include any of the following sources: "'self'", "'unsafe-eval'", "http://127.0.0.1", "http://localhost", or any "https://" or "chrome-extension://" origin. 
For more information, see http://developer.chrome.com/extensions/contentSecurityPolicy.html

当然我已经尝试了几种组合，但都失败了。它仅在我仅使用一个域时才有效。我该如何添加更多？

Answer 1

您的语法很好，问题是您的http://mysite.com来源不安全。 Chrome错误消息中的“仅白名单安全资源”部分指的是此内容。您需要使用https://mysite.com。