头盔拒绝本地主机，即使它包含在 Script-Src 中？

Question

我正在运行我的node.js Web应用程序：

http://localhost:3000/

我从头盔中收到此错误：

拒绝执行内联脚本，因为它违反了以下规定 内容安全策略指令：“script-src 'unsafe-eval' '不安全内联' 'sha256-DFWWwGm2cBwXA13nbn4jDkHCl2Oc/0Z2tKvKkN4NWj4=' http://本地主机:3000/ http://本地主机:4000/ [.....]”。请注意，如果源列表中存在哈希值或随机数值，则忽略“不安全内联”。

http://localhost:3000/

列在 script-src 指令中。为什么我会收到此错误？

Answer 1

从错误消息来看，您似乎正在尝试执行内联脚本，这是您的 CSP 不允许的。

您已经包含了“unsafe-inline”，这通常会允许它，但 SHA 会导致它被忽略；请参阅错误消息中的最后一句。