如何在Content Security Policy中只允许img-src: data:image/png (base64)

Question

我正在尝试在被我的 CSP 阻止的 ASP.Net 核心中加载图像。

<img src="@(string.Format("data:image/png;base64,{0}", example))" />

现在我读到您可以使用以下内容来允许所有数据方案

img-src: data:

或者如果您只想允许 SVG：

img-src: data:image/svg+xml

有谁知道如何只允许 PNG？ img-src: data:image/png 似乎不起作用，我找不到任何关于它的规范。

Answer 1

遗憾的是，无法按照您的意愿进行。

当前的 CSP 实现不支持主机部分的 data: 方案。 data:image/svg+xml 语法在浏览器中是 ignored。 data:image/png、data:image/gif、data:text/javascript等也是如此

有效只有：img-src data:

How to only allow img-src: data:image/png (base64) in the Content Security Policy