google-chrome - Chrome 在 Google 字体上抛出内容安全策略错误

Question

我已将 Google 字体 URL 添加到我的 Content-Security-Policy header 的 font-src 指令中。我在 Chrome 42 中收到以下错误:

Refused to load the stylesheet 'http://fonts.googleapis.com/css?
family=Open+Sans:300,400,400italic,600,800|Source+Code+Pro' because it violates the
following Content Security Policy directive: "style-src 'self' 'unsafe-inline'".

我的标题字段如下所示:

Content-Security-Policy: default-src 'self'; font-src http://fonts.googleapis.com;
style-src 'self' 'unsafe-inline'

Answer 1

问题是链接到 http://fonts.googleapis.com返回样式表，而不是字体。如果您检查它拉入的样式表，您会发现几个从 http://fonts.gstatic.com 拉取字体的@font-face 规则。 .

为了使其正常工作，您的 Content-Security-Policy header 应如下所示:

Content-Security-Policy: default-src 'self'; font-src http://fonts.gstatic.com; 
style-src 'self' 'unsafe-inline' http://fonts.googleapis.com