内容安全策略 - 服务器不考虑元内容

Question

我对一台服务器有一个奇怪的问题（托管公司是阿联酋的etisalat）。该网站不加载外部脚本（也是谷歌字体）或背景图像和一些JavaScript。

我在控制台中遇到的错误就像：

  

＆＃34;内容安全政策：该网页的设置阻止了https://fonts.googleapis.com/css?family=Noto+Sans:400,700,400italic（“default-src http://riviera.ae http://googleapis.com”）的加载资源＆＃34;

我已尝试将以下内容添加到以下部分：

<meta http-equiv="Content-Security-Policy" content="default-src * 'unsafe-inline' 'unsafe-eval'">

但它仍然没有加载它。图像和其他工作在Internet Explorer中很好用（但是XHR给出了错误。我还没有完全测试它）。

还在.htaccess中尝试了以下内容

Header set Content-Security-Policy "default-src 'self' googleapis.com; script-src 'self' www.googleapis.com;"

希望它不会反对stackoverflow策略来共享域的链接（riviera.ae）。谢谢你查一下。

注意：我尝试将相同的应用程序放在另一台服务器上（基于* nix的apache 2+系统）并且工作正常。 即使是phpinfo（）也会以纯文本形式显示输出（不显示PHP徽标，也不显示表格样式）。

Answer 1

我通过在.htaccess文件中添加“Header unset Content-Security-Policy”来实现它。必须添加其他衍生物以使其安全。