内容安全策略：页面的设置阻止了资源的加载

Question

我在页面加载时使用 CAPTCHA ，但由于某些安全原因它被阻止。

我面临这个问题：

内容安全策略：页面设置阻止加载
的资源在
http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit
 （“script-src http://test.com:8080 'unsafe-inline' 'unsafe-eval'”）。

我使用了以下 JavaScript 和元标记：

 <meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
 <script src="http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit" async defer></script>

原文由 Shakti Sharma 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 1

您说过您只能从您自己的站点（自己）加载脚本。然后，您尝试从另一个站点 ( www.google.com ) 加载脚本，并且由于您对此进行了限制，因此您不能。这就是 内容安全策略(CSP) 的全部意义所在。

您可以将第一行更改为：

 <meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval' http://www.google.com">

或者，在您了解有关 CSP 的更多信息之前，可能值得完全删除该行。无论如何，您当前的 CSP 非常宽松（允许 unsafe-inline 、 unsafe-eval 和 * 的 default-src ），所以说实话，它可能不会增加太多价值。

原文由 Barry Pollard 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 2

您可以通过在 htaccess 中添加代码来修复

<IfModule mod_headers.c>
 # Feature-Policy
 Header set Feature-Policy "microphone 'none'"
 # Referrer-Policy
 Header set Referrer-Policy "same-origin"
 # Content-Security-Policy
 Header set Content-Security-Policy "script-src 'self' 'unsafe-inline' 'unsafe-eval' eg https://ajax.googleapis.com https://ssif1.globalsign.com https://malsup.github.io https://seal.globalsign.com https://www.googletagmanager.com https://www.google.com https://www.gstatic.com https://assets.zendesk.com https://chimpstatic.com https://cdn.ywxi.net https://static.hotjar.com https://maxcdn.bootstrapcdn.com https://www.google-analytics.com https://static.zdassets.com https://connect.facebook.net https://script.hotjar.com https://*.livechatinc.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://cdnjs.cloudflare.com https://ajax.googleapis.com;"
 # X-XSS-Protection
 Header set X-XSS-Protection "1; mode=block"
 </IfModule>

原文由 user3778512 发布，翻译遵循 CC BY-SA 4.0 许可协议