代码之家 › 专栏 › 技术社区 › Tiffany

无法识别内容安全策略报告uri

content-security-policy http-headers parsing security

Tiffany · 技术社区 · 9 年前

我正在以仅报告模式设置内容安全策略。当我测试它时,Google Chrome给出了这个错误:

https://js.hs-analytics.net https://google-analytics.com https://ajax.googleapis.com ; 字体src https://use。类型套件。通用域名格式;样式src“self”“unsafe inline”https://use。类型套件。通用域名格式;框架src https://www.youtube。com;' 请添加“report uri”指令,或通过“Content Security policy”标头传递策略。

这是我的完整内容安全策略,我在网站的头PHP文件中定义了HTTP头:

header("Content-Security-Policy-Report-Only: default-src 'self'; 
        script-src 'self' 'unsafe-inline' https://use.typekit.com https://js.hs-analytics.net https://google-analytics.com https://ajax.googleapis.com;
        font-src https://use.typekit.com;
        style-src 'self' 'unsafe-inline' https://use.typekit.com;
        frame-src https://www.youtube.com;
        report-uri /csp-violations-report-endpoint;
");

我不确定我做错了什么。我读过 MDN's suggestions for report-uri 并已使用 Google's example

我应该试着指向 report-uri

编辑:我的web浏览器可能忽略了 report-to 指令,这就是为什么它不起作用,但错误消息让我相信情况并非如此。

1 回复 | 直到 9 年前

Dereleased 9 年前

我可能完全不正确,但是,如果您完全按照上面的图使用代码,那么您很可能发送了一堆无效的头。HTTP头必须存在于一行中,而您的头则不存在。试试这个:

header(
    "Content-Security-Policy-Report-Only: default-src 'self'; " .
    "script-src 'self' 'unsafe-inline' https://use.typekit.com https://js.hs-analytics.net https://google-analytics.com https://ajax.googleapis.com; " .
    "font-src https://use.typekit.com; " .
    "style-src 'self' 'unsafe-inline' https://use.typekit.com; " .
    "frame-src https://www.youtube.com; " .
    "report-uri /csp-violations-report-endpoint; "
);

推荐文章

MaSc. H. · 大小与阵列大小

1 年前

David 54321 · 我的密码在pyinstaller.exe中安全吗?

2 年前

Duong Duc Nguyen · 如何检测Windows应用程序(.exe)是否正在向外部发送数据?

2 年前

Michael · 某些Windows客户端上的命名管道安全问题

2 年前

al ice · 具有颤振的鲁棒认证

2 年前

adamency · 是否可以从Go二进制文件的源代码中检索字符串?

2 年前

Tricotou · $.get(code_url)执行返回的代码,不使用eval(),也不将其附加到DOM。jQuery安全性失败?

2 年前

AlboSimo · PayPal Api密钥安全

2 年前

Jordan Regan · 仅在响应中保护HTTP cookie,但不保护请求

2 年前

kellerkindt · 不带查询字符串的Apache2 ProxyPass

2 年前