个人中心
文章发布
退出
作者热门文章
- xml - AJAX/Jquery XML 解析
- 具有多重继承的 XML 模式
- .net - 枚举序列化 Json 与 XML
- XML 简单类型、简单内容、复杂类型、复杂内容
25
4
问题
Content-Security-Policy 应该默认将脚本和样式解析列入黑名单，并允许它基于各种指令来验证预期输出的哈希值。浏览器必须无法实现任何未预先提供匹配哈希的 Javascript 或 CSS。具有匹配散列的代码应正常执行。 Microsoft Edge 拒绝所有 JS/CSS 页内 block 。
说明在 Microsoft Edge 和任何其他浏览器中访问下面的实时演示链接。
演示原始源码
<!doctype html>
<html>
<head>
<meta charset="utf-8" />
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; style-src 'sha256-JtUhvM7uQO2KX5IEGWxN+rhEyzzsyFelfO2gXvYEuWA='; script-src https://ajax.googleapis.com 'sha256-iZzrsbzuGxfOaTdnB/E6RQBssyXQRp7W8YtZD2Wg/Rc=';" />
<meta http-equiv="X-Content-Security-Policy" content="default-src 'self'; style-src 'sha256-JtUhvM7uQO2KX5IEGWxN+rhEyzzsyFelfO2gXvYEuWA='; script-src https://ajax.googleapis.com 'sha256-iZzrsbzuGxfOaTdnB/E6RQBssyXQRp7W8YtZD2Wg/Rc=';" />
<style>#loading{color:transparent}#loading:after{color:green;content:"Style loaded."}</style>
</head>
<body>
<span id="loading">Hashes loading...</span>
<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.1.4/jquery.min.js"></script>
<script>alert("Script loaded.")</script>
CSP14304:对于指令“style-src”的未知来源“sha256-JtUhvM7uQO2KX5IEGWxN+rhEyzzsyFelfO2gXvYEuWA=”将被忽略。
CSP14306:没有为指令“style-src”提供源 - 这等同于使用“none”并将阻止下载该类型的所有资源。
CSP14304:对于指令“script-src”的未知来源“sha256-iZzrsbzuGxfOaTdnB/E6RQBssyXQRp7W8YtZD2Wg/Rc=”将被忽略。
CSP14312:内联样式中的资源违反指令‘style-src‘sha256-JtUhvM7uQO2KX5IEGWxN+rhEyzzsyFelfO2gXvYEuWA=’’。资源将被阻止。
CSP14312:资源违反指令 'script-src LINK-REMOVED-INSUFFICIENT-REPUTATION-ON-STACKOVERFLOW-SHOULD-BE-THE-GOOGLE-API-URL 'sha256-iZzrsbzuGxfOaTdnB/E6RQBssyXQRp7W8YtZD2Wg/Rc='' : 内联脚本。资源将被阻止。
尝试修复
default-src 和 connect-src 为 self 而不是 none我想不出还有什么可以尝试的。
24 小时后更新:为完整性添加了 X-Content-Security-Policy 并更新了 JSBin URL，尽管它对这种特殊情况没有影响。
最佳答案
编辑:这可能不正确。请参阅上面的评论。
IE 11 不支持Content-Security-Policy(仅支持X-Content-Security-Policy)，打开失败。IE 12 支持 CSP，但不支持 nonces/hashes，它无法关闭...除非您还在 Content-Security-Policy header 中提供 'unsafe-inline' .
CSP 级别 2 表示“如果提供了哈希或随机数，请忽略 'unsafe-inline'。”这是为了向后兼容，因为旧版浏览器会理解 'unsafe-inline' 但不会理解 nonces/hashes。参见 http://www.w3.org/TR/CSP2/#directive-script-src
关于javascript - Microsoft Edge 不接受内容安全策略的哈希，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/31720023/
25
4
0
我正在尝试将 Outlook API 与我的 React 应用程序集成。当我尝试使用 microsoft-graph-client 实现身份验证时，遇到以下错误。 'ImplicitMSALAuthe
我正在尝试使用 Microsoft Graph Beta API 在 Microsoft Teams 中创建 channel 。在文档中，它说 channel 实体具有属性 IsFavoriteByD
我的目标很简单。我想使用图形 API 将自动聊天消息发送到 MS Teams channel 。 这似乎是图形 API 的测试版功能，仅在 Microsoft.Graph.Beta 中可用。 我已经阅
通过委派权限获取 Teams channel 消息时(用户是团队成员): https://graph.microsoft.com/beta/teams/ {team_id}/channels/{cha
我正在使用带有 OData 端点的 Web API 和 Entity Framework 创建一个 RESTful 服务。 Microsoft.AspNet.WebApi.OData 和 Micros
我可以通过对标题和作者姓名的评估查询(以及解释查询)获得良好的结果。 但是如果我想通过 DOI 查找论文怎么办？ 我可以通过扩展元数据描述(在现有搜索的属性中)获取条目的DOI信息，但是由于扩展元数据
我正在尝试通过displayName查询用户，但是在同时使用C#SDK和Graph Explorer发送请求时，我无法转义单引号。 更新:在示例中不清楚，我遇到麻烦的搜索词是I' 查询示例: http
我在使用 Microsoft fakes 的解决方案中有一个单元测试项目，当我构建它时出现以下错误。它提示无法加载的 DLL 在磁盘上。我已经打开了 Fusion 日志记录，这表明绑定(bind)成功
我想创建一个应用程序，当用户在 MS Teams 中接到电话时会收到通知。我的意思是我想在来电事件上订阅一些东西，然后根据来电信息做一些事情。这可能吗？到目前为止，我在 SDK 中没有看到任何事件。
如果我开发一个网站，它是否会以相同的方式在 IE11、Chrome、Firefox 和 edge 上运行，还是我们需要专门为 IE11 编写代码？我没有 Windows 8，因此无法在边缘浏览器上测试
我几个月前为某些收件箱创建了一些订阅，系统成功收到了有关收到电子邮件的通知，订阅也定期更新以增加到期日期。这是我的订阅列表: https://graph.microsoft.com/v1.0/subs
如果我开发一个网站，它是否会以相同的方式在 IE11、Chrome、Firefox 和 edge 上运行，还是我们需要专门为 IE11 编写代码？我没有 Windows 8，因此无法在边缘浏览器上测试
如果 Edge 在某些机器上发生崩溃，我们需要检查日志以了解发生了什么情况。 最佳答案 Microsoft Edge 实际上是一个 Windows 进程，因此您应该能够在事件查看器中查看日志。此外，您
我已经将一些测试用例与项目中的单元测试相关联。该项目已构建并复制到共享上的放置位置。当我去运行这些测试时，由于作为这些测试的一部分包含的非托管 DLL 的 System.DllNotFoundExce
我对 asp.net 核心标识中的三个包感到困惑。我不知道彼此之间有什么区别。还有哪些是我们应该使用的？ 我在 GitHub 上找到了这个链接，但我没有找到。 Difference between M
在我的 Windows 类库(由 MVC 网站使用)中，我安装了 NugetPackage Microsoft.SqlServer.Types (Spatial)。 现在，我正在使用 ado.net
我有一个简单的 web 应用程序，我在 Teams 中显示为一个应用程序。我已经在 App Studio 中进行了设置，一切都按我的预期工作，一切都很好。它正在显示我的网络应用程序，这就是我想要的。
有什么不同？它们都是业务管理解决方案。他们做的一样吗？一些不同的版本？他们使用同一个平台吗？ 动态 Assets 净值 Microsoft Dynamics NAV 2009 is a compreh
如何制定包含非英语字符(例如日耳曼语Umlauts)的Microsoft Graph /myOrganization/users OData查询？ 例子: 我的租户中有一个名为“ThomasMülle
我想创建一个类似于乐队附带的星巴克应用程序的应用程序。我想显示条形码。我可以在云端或本地设备上将条形码生成为 JPG 图像，但我需要能够在乐队的屏幕上显示它们。到目前为止，我还没有找到使用 Band
我是一名优秀的程序员,十分优秀！