python - 如何 "avoid"内容安全策略？

Question

我在一家公司担任外部研究员。他们给了我一个 VPN、RSA token 和凭据，用于访问他们的在线门户，其中包含有关其项目的网页。我正在构建一个 Flask 应用程序，我想将其页面嵌入到框架中，但 CSP 拒绝此操作。目前这个工具正在本地运行，我永远不会将其放在他们的生产或测试服务器上。在框架中，出现一条消息而不是页面内容，内容为:

Blocked by Content Security Policy: this page has a content security police that prevents it from being loaded in this way. Firefox prevented this page from loading in this way because the page has a content security policy that disallow it.

控制台消息显示:

Content Security Policy: Ignoring 'x-frame-options' because of 'frame-ancestors' directive

我对 CSP 没有信心，我刚刚阅读了有关该主题的几页内容。由于我可以通过浏览器访问他们的页面(就像该工具的所有 future 用户一样)，是否有任何解决方案可以将这些页面嵌入到框架中？

Answer 1

您需要要求他们允许您的项目 URL/IP 使用 frame-src，例如:

<meta http-equiv="Content-Security-Policy" content="frame-src 'self' *.YourProjectURL.com;">