apache - 在 .htaccess 中设置 Content-Security-Policy header 时出现 500 Internal Server Error

Question

我在具有以下 .htaccess header 的共享服务器上托管了一个域:

RewriteEngine On
RewriteCond %{SERVER_PORT} !=443
RewriteRule ^(.*)$ https://example.com/$1 [R=301,L]
Header set Strict-Transport-Security: "max-age=31536000 ; includeSubDomains ;" env=HTTPS
Header set X-Frame-Options: SAMEORIGIN
Header set X-Content-Type-Options: nosniff
Header set X-XSS-Protection "1; mode=block"
Header set Referrer-Policy: strict-origin-when-cross-origin

Header set Content-Security-Policy-Report-Only: default-src: https:

第一组 header 似乎工作得很好，但是当我包含最后一行时，出现 500 内部服务器错误并且站点无法加载。我无权访问服务器日志，主机支持代理根本没有接受过该领域的培训。

我这里有什么地方做错了吗？非常感谢任何帮助!

Answer 1

刚刚解决了这个问题，应该在引号中加上 'default-src: https:'，如:

Header set Content-Security-Policy-Report-Only: "default-src: https:"

希望这对某人有帮助!