Chrome添加标头Content-Security-Policy-Report-Only

Question

我有一个（强制的）CSP策略，其中包含worker-src和report-uri等指令。

由于某些原因，当使用Chrome（80.0.3987.122）加载网站时，“网络”标签还会显示标题Content-Security-Policy-Report-Only: worker-src 'none'; report-uri about:blank。

这与我的Content-Security-Policy标头中的设置冲突，阻止了服务工作者的加载（并且将与无效report-uri有关的错误记录到控制台中。

当我使用Firefox加载同一站点时，看不到这个神秘的附加标题。

有人经历过类似的事情吗？这是预期的行为吗？

Answer 1

这是由uMatrix的CSP注入功能引起的，可以在here中找到更多详细信息。

请注意，必须将此设置设置为true才能禁用其他Content-Security-Policy-Report-Only标头。