content-security-policy - 内容安全策略是否向前兼容？

Question

如 script-src: hash-source用于不理解的浏览器hash-source , 浏览器是否会忽略所有 script-src: ，甚至所有的 CSP？或者它只会忽略 hash-source部分？

更一般地说，浏览器是否以向前兼容的方式实现 CSP？

Answer 1

不理解哈希源元素的浏览器可能会在控制台中发出警告，但也可能不会。推荐的方法是使用用户代理嗅探来检测支持或同时发送 'unsafe-inline'使用您的哈希源值。

理解哈希源的用户代理将忽略 'unsafe-inline'那些不这样做的将回退到 'unsafe-inline' .所以它是向后兼容的。