javascript - 内容安全策略阻止对 * ://www. google.com/recaptcha/api 的请求

Question

In light of this link ,它似乎是内联脚本，例如用于在页面中插入一个 recaptcha 对象，通过

<script type="text/javascript"
     src="http://www.google.com/recaptcha/api/challenge?k=your_public_key">
</script>
<noscript>
<iframe src="http://www.google.com/recaptcha/api/noscript?k=your_public_key"
     height="300" width="500" frameborder="0"></iframe><br>
<textarea name="recaptcha_challenge_field" rows="3" cols="40">
</textarea>
<input type="hidden" name="recaptcha_response_field"
     value="manual_challenge">
</noscript>

或通过

 <script type="text/javascript" src="http://www.google.com/recaptcha/api/js/recaptcha_ajax.js"></script>

与

Recaptcha.create("your_public_key",
"element_id",
{
  theme: "red",
  callback: Recaptcha.focus_response_field
}

);

尽管我的 manifest.json 显然允许像 http://www.google.com/recaptcha/api/js/recaptcha_ajax.js 这样的 url，但我总是收到一些关于内容安全策略的投诉。

我是否遗漏了一些让整个问题变得疯狂的非常明显的东西？

Answer 1

我刚刚花了两个小时来解决这个问题。对我来说，我认为这个例子也是如此，问题在于 src 属性；也就是说，在 http: 中。如下更改引用:

<script type="text/javascript" 
     src="https://www.google.com/recaptcha/api/challenge?k=your_public_key">
              ^  v
<iframe src="https://www.google.com/recaptcha/api/noscript?k=
     height="300" width="500" frameborder="0"></iframe>

解决了这个问题。基本上，您试图通过不安全的连接访问 google api，并且某些浏览器(例如 Chrome)默认情况下不会呈现不安全的内容。