Question

function callApi(url){
    debugger;

    var oReq = new XMLHttpRequest();
    oReq.addEventListener("load", reqListener);
    oReq.open("GET", url);
    oReq.setRequestHeader('Authorization', 'Bearer 3Zx7SfvX4zsvbiGhvW4hAA..');
    oReq.send();

    //buildPage(xhr.responseText, mainDiv);
}

给出错误 - 拒绝连接到＆＃39; http://dummysite/psupadmin/v1/contexthelp/mypayslip/25/＆＃39;因为它违反了以下内容安全政策指令：＆＃34; connect-src＆＃39; self＆＃39;＆＃34;。

从https://dummysite

调用此网络服务

请注意，请求是调用http而不是https

callApi("https://dummysite/psupadmin/v1/contexthelp/mypayslip/25");

上面的函数调用

Answer 1

这是the documentation所说的：

HTTP Content-Security-Policy响应标头允许网站管理员控制允许加载用户代理的资源对于给定的页面。除少数例外情况外，政策主要涉及指定服务器原点和脚本端点。这有助于防范反对跨站点脚本攻击（XSS）。

我认为它几乎解释了所有事情。

connect-src:self是Web服务器配置中的HTTP指令，表示网络服务器不响应跨站点查询（来自其他域名的JavaScript客户端查询）。

如果它是您的网络服务器，那么您可以轻松更改该值，如果不是，则您无法做很多事情，因为它是服务器管理员有目的的安全功能。

在javascript中发送http请求会导致错误

1 个答案: