cordova - 用于允许 Web 套接字的 content-security-policy 元标记

Question

情况:自动重载phonegap serve被内容安全策略元标记阻止

添加内容安全策略可防止自动重新加载 phonegap serve效用。这是建立在 cordova serve 之上的。但在文件编辑时自动重新加载应用程序。它通过注入(inject) socket.io 来工作在 index.html .我应该在我的 CSP 元标记中指定什么将允许套接字连接到我的笔记本电脑。

这是我当前的 CSP 元标记:

<meta http-equiv="Content-Security-Policy" content="default-src 'self' 192.168.0.100 * ws:* ; connect-src ws://192.168.0.100 ws:*"> 

但是在打开时，设备一直显示“正在连接到设备”，并且设备上没有收到事件。

另请注意，它开始着手删除此元标记，这意味着 cordova-plugin-whitelist可能不会阻止它。

Answer 1

要将 Web 套接字添加到安全策略中，请将 Web 套接字协议(protocol) (ws:) 添加到 connect-src 指令。

connect-src 'self' ws:;

或者，您可以将 ws: 协议(protocol)添加到 default-src 并省略 connect-src。这是一个有用的示例，它可以满足大多数本地开发需求，同时仍提供有用的安全约束。

<meta http-equiv="Content-Security-Policy"
      content="default-src 'self' data: gap: ws: ssl.gstatic.com 'unsafe-inline';">

content security policy 的文档出乎意料的好，易于阅读。