当 IP 请求页面时，CSP 会阻塞

Question

我的 CSP 规则很简单/标准：

content-security-policy: default-src 'self' https: 'unsafe-inline' https://www.googleapis.com https://api.dropboxapi.com https://content.dropboxapi.com;img-src 'self' https: 'unsafe-inline' data:;base-uri 'self';block-all-mixed-content;font-src 'self' https: data:;form-action 'self';frame-ancestors 'self';object-src 'none';upgrade-insecure-requests

他们工作，但只有当通过

name:port

调用页面时，并且notIP地址。

tld:PORT

和

localhost:PORT

都有效，但不是

IP:PORT

尽管

'self'

关键字在

default-src

.

当页面被 IP 调用时，有没有办法让规则起作用，或者它本质上是不可能的？

Answer 1

我在本地环境中发现了一些奇怪的行为，我认为这与您的问题有关。我的本地服务器在 http 上，但是当我设置 CSP 时，chrome 会尝试通过 https 加载所有内容。

调用索引：

从这里开始，每个请求都通过 https:

加载

我不知道是什么“CSP magic”导致了这种行为，但切换到 NAME:PORT 而不是 ip 地址解决了这个问题。