content-security-policy - YouTube.com 的有效内容安全策略定义

Question

我为使用来自 https://www.youtube.com/iframe_api 的 JavaScript 文件的应用程序之一定义了内容安全策略。如下;

<meta http-equiv="Content-Security-Policy"
content="script-src 'self' https://www.youtube.com;
child-src https://www.youtube.com;">

现在在 chrome 开发工具上，我收到以下错误:

Refused to load the script 'https://s.ytimg.com/yts/jsbin/www-widgetapi-vflaaT2_k/www-widgetapi.js' because it violates the following Content Security Policy directive: "script-src 'self' https://www.youtube.com".

我应该添加 https://s.ytimg.com内容安全策略设置？

如果是，它是否构成安全风险，因为无法保证它是否会随着时间的推移而改变？

如何有效定义 YouTube 的内容安全策略？

Answer 1

是的，这正是您需要做的。 Ytimg 是 YouTube 的静态文件 CDN。