google-chrome-app - 如何在 Chrome 打包应用中设置 script-src？

Question

我正在尝试从一个复杂的网络应用程序创建一个 Chrome 打包的应用程序。我目前收到错误:

Refused to execute inline event handler because it violates the following Content Security Policy directive: "default-src 'self' chrome-extension-resource:". Note that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

如何在 manifest.json 中明确设置策略？我试过这样的事情:

"content_security_policy": "default-src 'inline'; script-src 'inline'"

但我仍然收到相同的错误消息。是我的语法错误，还是错误是红鲱鱼？

Answer 1

您不能放松打包应用程序中的默认 CSP。如果你正在做类似 <button id="foo" onclick="doSomething()"> 的事情那么您应该在 HTML 中包含一个单独的 JS 文件，您可以在其中执行 document.querySelector("#foo").onclick = doSomething;在您的加载处理程序中。这将符合 CSP 并使您的应用程序更能抵抗 XSS 攻击。