Html 如何修复内容安全策略错误？
我有一个CSP元标记，看起来是这样的：Html 如何修复内容安全策略错误？,html,content-security-policy,Html,Content Security Policy,我有一个CSP元标记，看起来是这样的： <meta http-equiv="Content-Security-Policy" content="font-src 'self' 'unsafe-inline' data:; img-src 'self' data:; style-src 'self' 'unsafe-inline' data:; script-src 'unsafe-eval' 'unsafe-inline' data:; default
<meta http-equiv="Content-Security-Policy"
content="font-src 'self' 'unsafe-inline' data:;
img-src 'self' data:;
style-src 'self' 'unsafe-inline' data:;
script-src 'unsafe-eval' 'unsafe-inline' data:;
default-src 'self' localhost:*">
<script src="js/video.min.js"></script>
<link href="css/video-js.css" rel="stylesheet" />
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8" />
<meta http-equiv="Content-Security-Policy" content="font-src 'self' 'unsafe-inline' data:; img-src 'self' data:; style-src 'self' 'unsafe-inline' data:; script-src 'unsafe-eval' 'unsafe-inline' data:; default-src 'self' localhost:*">
<title></title>
<link href="css/video-js.css" rel="stylesheet" />
</head>
<body>
<video id='my-video' class='video-js' controls preload='auto' width='640' height='360'
poster='/videos/Factory_Clearance30_03_16.jpg' data-setup='{}'>
<source src="/videos/Factory_Clearance30_03_16.webm" type="video/webm">
<source src="/videos/Factory_Clearance30_03_16.ogv" type="video/ogg">
<source src="/videos/Factory_Clearance30_03_16.mp4" type="video/mp4">
</video>
<script src="js/video.min.js"></script>
</body>
</html>
- 是否为
？否，您没有使用safe eval
或任何类似的方法来加载脚本。它是eval（）
属性src - 它是
？不，它不是内联的；它是一个不安全内联的
属性src - 它是
？不是。它是一个相对URL，您不能与数据：方案URL相对。您可能正在使用数据：http:
'self'就CSS中的字体而言，浏览器中似乎存在一个bug，因为没有类似于“font src*”的CSP指令-因此，浏览器不知何故覆盖了这个CSP（或者它只是一个bug） 对此最可能的解释是，您正在通过HTTP头和
php bin/magento module:disable Magento_Csp
脚本的某些部分调用使用eval的部分——这是必要的。脚本的某些部分还使用内联脚本创建元素（我没有编写这些脚本），因此脚本的某些部分使用DataBase64是必要的（脚本中生成的元素也使用DataBase64）需要使用数据：指定符。使用“自我”对这个脚本根本不起作用（它会产生一系列的违规行为），而且似乎不适合其他的说明符。HTTP报头必须在别处重写。这是dotNETCype——我没有想到它可能是黑拳击。我没有要求。（重写）更多。freedom“我添加到CSP中，它变得越糟糕。现在Chrome在一行声称worker src没有被显式设置，紧接着在下一行出现一个错误，说它违反了worker src指令。（那么它是哪个？未设置？还是违反？）。因此很明显某些部分正在覆盖其他部分（浏览器、http头等）坦率地说，在这一点上，我希望我的服务器提供的一切都是允许的（不管它做什么）。简单来说，这是安全的：HTTP头覆盖元标记声明，而不是相反的方式？（Chrome似乎很难决定接受哪一个）注意：如果您同时通过HTTP头和
<script src="js/video.min.js"></script>
php bin/magento module:disable Magento_Csp