内容 - 安全 - 政策问题

Question

我在htaccess中使用下面的代码但由于某种原因我在控制台中收到错误消息。知道问题是什么吗？

谢谢，

<IfModule mod_headers.c>
Header set Content-Security-Policy "script-src 'self' https://maxcdn.bootstrapcdn.com/ https://oss.maxcdn.com/ https://cdnjs.cloudflare.com https://ajax.googleapis.com https://maps.googleapis.com https://fonts.googleapis.com/ https://www.facebook.com/ https://www.facebook.net/ https://connect.facebook.net https://connect.facebook.com"
</IfModule>

Answer 1

您的网页上有一个内嵌脚本，例如：

<script>
...
</script>

这可以直接在您的HTML或使用的组件中（例如，您拉入到您页面的Facebook小部件添加此内容），也可以在浏览器使用的浏览器扩展程序中使用。

您可以通过在配置中添加unsafe-inline来允许此在线脚本，如下所示：

<IfModule mod_headers.c>
Header set Content-Security-Policy "script-src 'unsafe-inline' 'self' https://maxcdn.bootstrapcdn.com/ https://oss.maxcdn.com/ https://cdnjs.cloudflare.com https://ajax.googleapis.com https://maps.googleapis.com https://fonts.googleapis.com/ https://www.facebook.com/ https://www.facebook.net/ https://connect.facebook.net https://connect.facebook.com"
</IfModule>

然而，这将破坏内容安全策略（CSP）的大部分保护，CSP专门用于防止为您的站点运行的流氓脚本，以防止跨站点脚本（XSS）等安全问题。

我建议你在实施之前先阅读更多关于CSP的内容。可以在这里建议我自己的博客作为首发：https://www.tunetheweb.com/security/http-security-headers/csp/