使用CSP nonce加载Google Analytics js文件

Question

我使用CSP nonce规则加载所有外部JS脚本，也就是说，我没有触发'unsafe-inline'。因此它更安全。

奇怪的是，Google Analytics文件阻止加载由analytics.js脚本本身加载的文件。

任何人都有使用nonces or hashes使用CSP 加载 'unsafe-inline'加载Google Analytics的经验吗？

Answer 1

我敢打赌script-src仅适用于您的内嵌GA脚本，但GA发出的后续/collect请求是image/gif个请求。尝试使用img-src允许这些/collect来电：

Content-Security-Policy: img-src http://www.google-analytics.com
Content-Security-Policy: img-src https://www.google-analytics.com

选择符合您协议的任何内容。