SignalR 内容安全策略问题

Question

我正在尝试在我们的一些项目中实现 .NET SignalR (v2.4.0)，但是， SignalR $.connection.hub.start 方法给出 CSP 错误，出于安全考虑，我们不想对脚本使用 'unsafe-inline' CSP 指令

<块引用>

拒绝执行内联脚本，因为它违反了以下内容 内容安全策略指令：“script-src

有没有什么方法或者配置可以解决这个问题？

最好的问候

Answer 1

您可能需要实施 CORS，具体取决于您从何处加载资源。

https://docs.microsoft.com/en-us/aspnet/signalr/overview/guide-to-the-api/hubs-api-guide-javascript-client#crossdomain

Answer 2

Chrome 控制台中的违规消息：

Refused to execute inline script because it violates the following
 Content Security Policy directive: "script-src

意味着您在页面上有类似 <script>...</script> 的内联脚本。

您可以使用 'nonce-value' 或 'hash-value' 令牌允许此类脚本。或者，您可以将此脚本移动到外部文件，在这种情况下，它属于 script-src 'self' 权限。