Chính sách bảo mật nội dung: Cài đặt của trang đã chặn tải tài nguyên

Tôi đang sử dụng CAPTCHA khi tải trang, nhưng nó đang chặn vì một số lý do bảo mật.

Tôi đang đối mặt với vấn đề này:

    Chính sách bảo mật nội dung: Cài đặt của trang đã chặn tải
    của một nguồn tại
    http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit
    ("script-src http://test.com:8080 'secure-inline' 'secure-eval'").

Tôi đã sử dụng JavaScript và thẻ meta sau:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
<script src="http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit" async defer></script>

Bạn đã nói rằng bạn chỉ có thể tải các tập lệnh từ trang web của chính mình (chính bạn). Sau đó, bạn đã cố gắng tải một tập lệnh từ một trang web khác ( www.google.com ) và vì bạn đã hạn chế điều này nên bạn không thể. Đó là toàn bộ điểm của Chính sách bảo mật nội dung (CSP).

Bạn có thể thay đổi dòng đầu tiên của mình thành:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval' http://www.google.com">

Hoặc, cách khác, có thể đáng để loại bỏ hoàn toàn dòng đó cho đến khi bạn tìm hiểu thêm về CSP. CSP hiện tại của bạn là khá lỏng lẻo nào (cho phép unsafe-inline, unsafe-evalvà một default-srcsố *), vì vậy nó có lẽ không thêm quá nhiều giá trị, phải trung thực.

Với dự án ASP.NET Core Angular của tôi đang chạy trong Visual Studio 2019, đôi khi tôi nhận được thông báo lỗi này trong bảng điều khiển Firefox:

Chính sách bảo mật nội dung: Cài đặt của trang đã chặn việc tải tài nguyên tại nội tuyến (“default-src”).

Trong Chrome, thông báo lỗi là:

Không thể tải tài nguyên: máy chủ đã phản hồi với trạng thái 404 ()

Trong trường hợp của tôi, điều đó không liên quan gì đến Chính sách bảo mật nội dung của tôi, mà thay vào đó chỉ đơn giản là do lỗi TypeScript từ phía tôi.

Kiểm tra cửa sổ đầu ra IDE của bạn để tìm lỗi TypeScript, như:

> ERROR in src/app/shared/models/person.model.ts(8,20): error TS2304: Cannot find name 'bool'.
>
> i ｢wdm｣: Failed to compile.

_{Lưu ý: Vì câu hỏi này là kết quả đầu tiên trên Google cho thông báo lỗi này.}

Tôi đã có một loại lỗi tương tự. Đầu tiên, tôi đã cố gắng thêm các thẻ meta trong mã, nhưng nó không hoạt động.

Tôi phát hiện ra rằng trên máy chủ web nginx, bạn có thể có cài đặt bảo mật có thể chặn mã bên ngoài chạy:

# Security directives
server_tokens off;
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'  https://ajax.googleapis.com  https://ssl.google-analytics.com https://assets.zendesk.com https://connect.facebook.net; img-src 'self' https://ssl.google-analytics.com https://s-static.ak.facebook.com https://assets.zendesk.com; style-src 'self' 'unsafe-inline' https://assets.zendesk.com; font-src 'self' https://fonts.gstatic.com  https://themes.googleusercontent.com; frame-src https://player.vimeo.com https://assets.zendesk.com https://www.facebook.com https://s-static.ak.facebook.com https://tautt.zendesk.com; object-src 'none'";

Kiểm tra Nội dung-Bảo mật-Chính sách. Bạn có thể cần thêm tham chiếu nguồn.

Tôi đã quản lý để cho phép tất cả các trang web cần thiết của mình có tiêu đề này:

header("Content-Security-Policy: default-src *; style-src 'self' 'unsafe-inline'; font-src 'self' data:; script-src 'self' 'unsafe-inline' 'unsafe-eval' stackexchange.com");                    

Tôi đã giải quyết vấn đề này bằng cách nâng cấp cả phiên bản Angular mà tôi đang sử dụng (từ v8 -> v9) và phiên bản TypeScript (từ 3.5.3 -> mới nhất).

Bạn có thể tắt chúng trong trình duyệt của mình.

Firefox

Nhập about:configvào thanh địa chỉ Firefox và tìm security.csp.enablevà đặt nó thành false.

Trình duyệt Chrome

Bạn có thể cài đặt tiện ích mở rộng được gọi Disable Content-Security-Policyđể tắt CSP.