Content-Security-Policy HTTP标头参考： https://content-security-policy.com/
Chrome错误：jQuery字体错误：＆＃39; font-src＆＃39;没有明确设置，所以＆＃39; default-src＆＃39;用作后备
我最近为我们的Web服务器强制实施了一个新的Content-Security-Policy标头，并针对jQuery 1.11.3字体遇到了这个问题。不幸的是，它是一个遗留的Web应用程序，依赖于这个旧版本的jQuery。
是否有一个如何为NGINX Web服务器正确设置font-src标头的示例？
答案 0 :(得分：1)
所以这是来自gist：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://ssl.google-analytics.com https://assets.zendesk.com https://connect.facebook.net; img-src 'self' https://ssl.google-analytics.com https://s-static.ak.facebook.com https://assets.zendesk.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://assets.zendesk.com; font-src 'self' https://themes.googleusercontent.com; frame-src https://assets.zendesk.com https://www.facebook.com https://s-static.ak.facebook.com https://tautt.zendesk.com; object-src 'none'";
特别相关的是：
font-src 'self' https://themes.googleusercontent.com;
基本上如果你有一堆规则，你应该用分号分开每个规则然后＆＃34;特殊＆＃34;您应该使用引号和任何域名（例如fonts.google.com）可以使用空格键列出没有引号。它与语法元标记Http完全相同，相当于Content-Security-Policy标头。