收到不存在内容安全策略标头的内容安全策略错误

Question

我正在与第三方库 (Chargebee) 集成，并且收到内容安全违规错误。

据我所知，我的网页中没有定义 CSP，因为它不返回 CSP 响应标头：

虽然，当尝试使用这个库时，我遇到了以下错误：

问题

1. 我正在使用其他第三方 JS 库，为什么我在其他库中没有收到此错误？我以前从未需要为任何指定 CSP。

2. 如果我确实定义了 CSP，那么我就会阻止其他第三方库。我可以允许 Chargebee 而不阻止其他人（并且不必将它们全部包含在 CSP 中）吗？

这没有道理。这表明我没有定义 CSP，因为它没有在我的标头中返回，并且我可以使用第三方资源，我什至使用 Chrome CSP 评估器扩展对此进行了验证。然而，错误消息显示我确实定义了 CSP 策略。

我错过了什么吗？

Answer 1

如果我确实定义了 CSP，那么我就会阻止其他第三方库。我可以允许 Chargebee 而不阻止其他人（并且不必将它们全部包含在 CSP 中）吗？

否 - CSP 是白名单协议。 如果您定义 CSP，则需要映射出所有各种所需资源 - 至少对于您正在使用的指令而言如此（例如，您可以将 CSP 仅限制为

script-src

和

object-src

，并忽略其他资源）。

由于您无法控制或预测 Chargebee CSP 需要哪些指令，因此最好使用预先确定的 CSP 包和 CSP 生成器。