CSP Error: Endpoint Not Permitted Even Though Referenced in Policy?

Question

我收到此 CSP 错误：

Refused to connect to 'https://cdn.userway.org/remediations/consolidated/123451234/s2345234g5.json' because it violates the following Content Security Policy directive: "connect-src 'self' https://cdn.userway.org/*".

我期待政策中的 https://cdn.userway.org/* 允许 https://cdn.userway.org/remediations/consolidated/123451234/s2345234g5.json。

编辑策略以避免此错误的正确方法是什么？

Answer 1

将 connect-src 'self' https://cdn.userway.org/* 更改为 connect-src 'self' https://cdn.userway.org。 CSP 不允许 在路径部分使用 *（尾部斜杠是可选的）。

在大多数网络模板中，通配符“*”的解释非常广泛，例如在 Cordova 中：

<allow-navigation href="*://*.example.com/*" />
<allow-navigation href="http://*/*" />

所以这通常会导致 CSP 混乱。

CSP Error: Endpoint Not Permitted Even Though Referenced in Policy?

CSP Error: Endpoint Not Permitted Even Though Referenced in Policy?

node.js

content-security-policy

react-helmet