为什么Web.config文件会因CSP中的不安全内联而引发无法识别的错误？

Question

我尝试将csp应用到asp.net Web表单项目的web.config文件中。但是，我收到了无法识别的unsafe-inline错误。

<system.webServer>
<httpProtocol>
  <customHeaders>
    <add name="Content-Security-Policy" value=" 'unsafe-inline'" />.

我尝试在值中使用default-src，safe，unsafe-eval。他们都抛出了无法识别的错误。

能否请您提供任何资源解决此问题？

Answer 1

您会看到此错误，因为在没有指令的情况下指定'unsafe-inline'并不是有效的内容安全策略定义。

有效的指令由一个或多个指令后跟一个值组成，每个指令都用分号分隔。

问题中的一个可能如下所示。
注意指令default-src及其值'unsafe-inline'。

<add name="Content-Security-Policy" value="default-src 'unsafe-inline'" />

请参阅reference，其中包含指令和值的概述。