nginx - Safari 不理解我的 Content-Security-Policy header

Question

当我说:

add_header Content-Security-Policy default-src 'self'; script-src 'self' unsafe-inline; connect-src wss://mysite.com;

在我的标题中。但是 Safari 说:

Refused to connect to wws://mysite because it doesn't not appear in the connect-src directive in Content Security Policy. [Error] SecurityError (DOM Exception 18): The operation is insecure. (anonymous function) (myjavascripturl.js)

为什么 Safari 不理解我的 Content-Security-Policy header ？

Answer 1

在您提供的策略中， unsafe-inline 周围没有单引号是必需的。改变这个:

add_header Content-Security-Policy default-src 'self'; script-src 'self' unsafe-inline; connect-src wss://mysite.com;

对此:

add_header Content-Security-Policy default-src 'self'; script-src 'self' 'unsafe-inline'; connect-src wss://mysite.com;
-------------------------------------------------------------------------^-------------^

这可能会影响政策的解析。

另一个问题是您提供的错误消息。

Refused to connect to wws://mysite
-----------------------^

您的代码中是否有拼写错误，应该是 wss 吗？