azure - CSP 表单操作指令覆盖在 Chrome 中不起作用

Question

我需要放宽 Chrome 中的 CSP(内容安全策略)，以启用带有某些获取参数的重定向到 Azure 登录页面。处理此类重定向时，Chrome 会应用与表单提交相关的政策限制。在这种情况下，默认策略相当于

<meta http-equiv="Content-Security-Policy" content="form-action 'self' javascript:"/>

在本例中，重定向到 https://login.microsoftonline.com/...不会工作的。 MDN 说您可以扩展允许的目的地列表，我尝试过如下:

<meta http-equiv="Content-Security-Policy" content="form-action 'self' https://*.microsoftonline.com javascript:"/>

它似乎根本没有任何效果，因为在控制台上仍然出现相同的错误:

Refused to send form data to 'https://login.microsoftonline.com' because it violates the following Content Security Policy directive: "form-action 'self' javascript:"

另请注意，调整属性的顺序或删除 javascript: 部分确实有帮助。然而，Chrome 显然对删除 self 部分给予了一些关注，因为在这种情况下我无法将数据发送回源。这几乎就像他们让你收紧政策而不是放松它。任何帮助将不胜感激。

Answer 1

不要包含协议(protocol)(https)，我认为它会起作用