问内容安全策略:页面的设置阻止了在self上加载资源？

EN

标头是受信任源的白列表。

default-src列表是所有其他*-src列表使用的列表。如果它不存在，默认的是default-src: *，这意味着“所有内容都允许从任何地方”，这并不提供任何针对XSS的保护。

因此，您应该从

• default-src none，因此所有内容都不被允许，或者
• default-src 'self'，因此只允许来自您的域的内容。

在此之后，可以根据需要替换其他*-src。例如，除了图像之外，以下所有内容都信任self，并且图像仅允许来自example.com (但不允许来自“self”)：

default-src 'self'; img-src example.com;

在您的问题中，您指定了可能导致问题的default-src * 'unsafe-inline' 'unsafe-eval';，因为*已经暗示了'unsafe-inline'和'unsafe-eval'。这就像说“允许所有的事情，允许内联的，允许进化的”。

还请注意，通过IE X-Content-Security-Header 8中的X-Content-Security-Header支持CSP。

资料来源：

• http://content-security-policy.com/
• http://www.w3.org/TR/CSP/
• http://caniuse.com/#feat=contentsecuritypolicy

尝试：

default-src * 'unsafe-inline' 'unsafe-eval';script-src 'self' 'unsafe-inline' 'unsafe-eval'