google-chrome - 无法识别的内容安全策略指令

Question

我注意到更新到 Google Chrome (21.0.1180.89) 后，我在开发者选项卡中遇到了很多错误；特别是当我访问我自己的 phpMyAdmin 站点时。

所有这些都是相同的，并且都有某种针对跨站点脚本的安全措施；有什么我可以解决的吗？

Unrecognized Content-Security-Policy directive 'allow'. 
Unrecognized Content-Security-Policy directive 'options'. 

Answer 1

allow 和 options 指令都是 Mozilla 内容安全策略原始定义的一部分。 Chrome 实现了 current W3C standard ，它对 Mozilla 的原始提案进行了一些更改。

• allow 已替换为 default-src，并为其他 CSP 指令设置默认源列表。
• options 已替换为 'unsafe-inline' 和 'unsafe-eval'(带单引​​号)来源script-src 或 style-src 指令。

这两个旧式指令仍然可以在 Firefox 中使用 X-Content-Security-Policy header 。如果网站提供带有 WebKit 前缀的 header (X-WebKit-CSP)，则应使用当前标准。

请注意，WebKit 已在主干中实现了无前缀 header (Content-Security-Policy)，并且应该会在接下来的几个月内推出到稳定的基于 WebKit 的浏览器。如果您还没有设置规范 header ，那么现在是开始考虑它的好时机。 :)