javascript - chrome 扩展策略声明不起作用

Question

我无法在我的 chrome 扩展程序中加载外部 js 文件。这是我 list 中的 csp 条目:

"content_security_policy": "script-src 'self' 'unsafe-eval' 'unsafe-inline' http://proto.office.atlassian.com; object-src 'self'" 

下面是我在 popup.html 中调用脚本的方式:

<script src="http://proto.office.atlassian.com/prototypes.js"></script>

这是我得到的错误:

Refused to load the script 'http://proto.office.atlassian.com/prototypes.js' because it violates the following Content Security Policy directive: "script-src 'self'"

我已经确认服务器正确设置了我的 CORS，并且我可以通过 XMLHttpRequest 提取脚本就好了，但是我似乎无法通过脚本标签加载一个脚本，也无法在我捕获它后对其进行评估.任何帮助将不胜感激:)

Answer 1

content security policy 必须明确允许外部脚本在你体现。

如果您需要一些外部 JavaScript 或对象资源，您可以通过将应该接受脚本的安全来源列入白名单来在一定程度上放宽政策...

允许通过 HTTPS 从 example.com 加载脚本资源的宽松政策定义可能如下所示:

"content_security_policy":"script-src 'self' https://example.com; object-src 'self'"

脚本只能通过 HTTPS 加载到扩展中，因此您必须通过 HTTPS 加载 jQuery CDN 资源:

<script src="https://ajax.googleapis.com/..."></script>
{
"manifest_version": 2,
"name": "One-click Kittens",
"description": "This extension demonstrates a 'browser action' with kittens.",
"version": "1.0",
"browser_action": {
"default_icon": "icon.png",
"default_popup": "popup.html"
},
"content_security_policy": "script-src 'self' https://ajax.googleapis.com; object-src 'self'"
}