拒绝加载字体“<URL>”，因为它违反了以下内容安全策略指令 default-src ，因此使用 default-src 作为后备

Question

我正在使用角度 6 中的平均堆栈创建一个 Web 应用程序，但我在浏览器控制台上收到以下错误消息。

“拒绝加载字体‘’，因为它违反了以下内容安全策略指令：‘default-src‘self’”。请注意，‘font-src’未明确设置，因此使用了‘default-src’作为后备。”

代码：

  getUsers() {
    return this._http.get("/api/users")
      .pipe(map(result => this.result = result.json().data));
  }

原文由 Pramod 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 1

内容安全策略是现代浏览器在加载远程资源时定义一组限制的一种方式。

来自 HTTP 协议的响应标头可以设置这些策略：

Content-Security-Policy 标头（官方）， X-Content-Security-Policy （Mozilla Firefox 和 IE10 支持）和 X-WebKit-CSP HTTP 标头和 Safari- Chrome- 列出的响应内容安全策略指令。 （来自 seckit drupal 模块）

You can set different policies to different types of elements in the DOM (eg <img> , <script> , <object> , <embed> , <iframe> 等等……），以限制源自该元素的请求。

因此，您需要将 'self' 更改为以下之一：

• 'none' - 阻止来自任何来源的内容
• 'self' - 仅允许来自您域的内容
• 'unsafe-inline' - 允许特定的内联内容（注意，它受指令子集支持）
• 'unsafe-eval' - 允许一组默认限制的字符串到代码API（由script-src指令支持）

允许使用通配符 (*)：

• * - 从任何来源加载内容
• *.example.com - 从 example.com 及其所有子域加载内容
• example.com:* - 通过任何端口从 example.com 加载内容。 -
• 否则，它将使用您网站的默认端口

原文由 JohnnyJS 发布，翻译遵循 CC BY-SA 4.0 许可协议