启用 facebook 连接的最受限制的内容安全策略是什么

Question

我想通过 ionic / Cordova 使用 facebook 连接。它需要内容安全策略。

以下参数的最受限制的值是多少，但仍然可以使用 facebook 连接。样式源脚本源连接源

Answer 1

确保您了解所有这些价值观。加载外部样式时需要 style-src。 script-src 当您加载外部脚本时。 connect-src 当您 - 例如 - 使用 AJAX 调用时。 connect-src 将需要调用图形 API:: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/connect-src

所以如果你加载一些 JS SDK（比如 FB JS SDK），并用它来做 API 调用，你需要这样的东西："script-src 'self' *.facebook.com; connect-src 'self' graph.facebook.com"

虽然没有测试。但是使用 Cordova，据我所知，如果您连接 phone，您可以使用 Chrome 开发工具轻松调试您的应用程序。控制台错误应该会准确告诉您缺少什么 CSP 值。

另一个可能对您有帮助的帖子：

最后还是一开始就尽量限制，一件件允许。您可以通过这种方式轻松找到所需的内容，浏览器控制台会准确告诉您缺少的内容和原因。

Answer 2

这是对我有用的最低要求，可以从 ionic / cordova 使用 facebook 连接。非常感谢@luschn 的指导和助手正确调试它。

<meta http-equiv="Content-Security-Policy" 
content="style-src 'self' 'unsafe-inline';
         script-src 'self' 'unsafe-inline' 'unsafe-eval' 
                     http://localhost https://connect.facebook.net;
         connect-src 'self'
                        https://*.mydomain.com <!-- Replace with your own 
                                                    domain-->
                        https://*.facebook.net ws: wss:;
">

启用 facebook 连接的最受限制的内容安全策略是什么

Whats the most restricted Content-Security-Policy to enable facebook connect

facebook

cordova

content-security-policy

ionic-framework