允许所有内容安全策略？

Question

是否可以将 Content-Security-Policy 配置为完全不阻止任何内容？我正在上一门计算机安全课程，我们的网络黑客项目在较新版本的 Chrome 上遇到了问题，因为没有任何 CSP 标头，它会自动阻止某些 XSS 攻击。

原文由 joshlf 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 1

对于仍然想要更宽松的帖子的人，因为其他答案不够宽松，他们必须使用谷歌浏览器 * 是不够的：

 default-src *  data: blob: filesystem: about: ws: wss: 'unsafe-inline' 'unsafe-eval' 'unsafe-dynamic';
script-src * data: blob: 'unsafe-inline' 'unsafe-eval';
connect-src * data: blob: 'unsafe-inline';
img-src * data: blob: 'unsafe-inline';
frame-src * data: blob: ;
style-src * data: blob: 'unsafe-inline';
font-src * data: blob: 'unsafe-inline';
frame-ancestors * data: blob: 'unsafe-inline';

原文由 Rainb 发布，翻译遵循 CC BY-SA 4.0 许可协议