内容安全策略包括脚本

Question

我需要在我的网站中包含这个脚本https://apis.google.com/js/api:client.js。在谷歌浏览器上它工作正常，但在Firefox（显然IE）上我收到一些错误：

---

内容安全策略：忽略script-src中的“'unsafe-inline'”：指定'strict-dynamic'

内容安全策略：忽略script-src中的“https：”：指定'strict-dynamic'

内容安全策略：忽略script-src中的“http：”：指定'strict-dynamic'

---

我尝试更改元标记中的内容安全策略标头，但它不起作用。

我尝试了所有这些：

<meta http-equiv="Content-Security-Policy" content="default-src 'none'; img-src 'self'; script-src 'self' apis.google.com; style-src 'self';">

<meta http-equiv="Content-Security-Policy" content="default-src 'self' apis.google.com">

<meta http-equiv="Content-Security-Policy" content="script-src 'self' 'unsafe-eval' https://*.google.com; object-src 'self' 'unsafe-eval'"> 

<meta http-equiv="Content-Security-Policy" content="script-src 'self' 'unsafe-eval' apis.google.com;">

Answer 1

您必须编辑不在HTML上的CSP标头，但在服务器HTTP标头上，您是否可以控制服务器？

Meta标签等将被忽略，因为HTTP标头优先，先修复它们。

Answer 2

我知道这个问题已经有一年了，但它仍然是在寻找这个问题时首先要提出的问题之一，而且还没有正确的答案。

我明白。我是那些喜欢在生产中看到原始控制台的人之一，所以这样的东西让我疯狂，但实际上我们无能为力。 Firefox不应该向控制台报告警告。

Mozilla和Google都建议包括后备CSP1政策以及CSP3的“严格动态”。理解“严格动态”的浏览器应该忽略CSP1策略，而不应该忽略无法识别的“严格动态”并遵循CSP1策略的浏览器。操作词是无视的。真正无视包括不宣布你无视。