İçerik Güvenliği Politikası: Sayfanın ayarları bir kaynağın yüklenmesini engelledi

Sayfa yüklemede CAPTCHA kullanıyorum , ancak bazı güvenlik nedenlerinden dolayı engelliyor.

Bu problemle karşı karşıyayım:

    İçerik Güvenliği Politikası: Sayfanın ayarları yüklemeyi engelledi
    bir kaynağın
    http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit
    ("script-src http://test.com:8080 'unsafe-inline' 'unsafe-eval'").

Aşağıdaki JavaScript ve meta etiketi kullandım:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
<script src="http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit" async defer></script>

Yalnızca kendi sitenizden (kendi) komut dosyaları yükleyebileceğinizi söylediniz. Daha sonra başka bir siteden ( www.google.com ) bir komut dosyası yüklemeyi denediniz ve bunu kısıtladığınız için yapamazsınız. İçerik Güvenliği Politikası'nın (CSP) tüm amacı budur .

İlk satırınızı şu şekilde değiştirebilirsiniz:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval' http://www.google.com">

Veya alternatif olarak, CSP hakkında daha fazla bilgi edinene kadar bu satırı tamamen kaldırmaya değer olabilir. Geçerli CSP oldukça gevşek zaten (izin olduğunu unsafe-inline, unsafe-evalve bir default-srcbir *muhtemelen dürüst olmak gerekirse, çok fazla değer taşımıyorsa, bu yüzden).

Benim ile ASP.NET Çekirdek Açısal proje Visual Studio 2019 çalışan, bazen Firefox konsolunda bu hata mesajını alıyorum:

İçerik Güvenliği Politikası: Sayfanın ayarları, bir kaynağın satır içi ("default-src") yüklenmesini engelledi.

Chrome'da bunun yerine hata mesajı şöyledir:

Kaynak yüklenemedi: sunucu 404 () durumuyla yanıt verdi

Benim durumumda bunun İçerik Güvenlik Politikamla hiçbir ilgisi yoktu, bunun yerine sadece benim açımdan bir TypeScript hatasının sonucuydu.

IDE çıktı pencerenizde bir TypeScript hatası olup olmadığını kontrol edin, örneğin:

> ERROR in src/app/shared/models/person.model.ts(8,20): error TS2304: Cannot find name 'bool'.
>
> i ｢wdm｣: Failed to compile.

_{Not: Bu soru, Google'da bu hata mesajının ilk sonucu olduğundan.}

Benzer bir hata tipim vardı. Önce koda meta etiketleri eklemeye çalıştım ama işe yaramadı.

Nginx web sunucusunda, harici kodun çalışmasını engelleyebilecek bir güvenlik ayarınız olabileceğini öğrendim:

# Security directives
server_tokens off;
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'  https://ajax.googleapis.com  https://ssl.google-analytics.com https://assets.zendesk.com https://connect.facebook.net; img-src 'self' https://ssl.google-analytics.com https://s-static.ak.facebook.com https://assets.zendesk.com; style-src 'self' 'unsafe-inline' https://assets.zendesk.com; font-src 'self' https://fonts.gstatic.com  https://themes.googleusercontent.com; frame-src https://player.vimeo.com https://assets.zendesk.com https://www.facebook.com https://s-static.ak.facebook.com https://tautt.zendesk.com; object-src 'none'";

İçerik-Güvenlik-Politikasını kontrol edin. Kaynak referansını eklemeniz gerekebilir.

Gerekli tüm sitelerime şu başlık ile izin vermeyi başardım:

header("Content-Security-Policy: default-src *; style-src 'self' 'unsafe-inline'; font-src 'self' data:; script-src 'self' 'unsafe-inline' 'unsafe-eval' stackexchange.com");                    

Hem kullandığım Angular versiyonunu (v8 -> v9'dan) hem de TypeScript versiyonunu (3.5.3 -> en son) yükselterek bu sorunu çözdüm.

Bunları tarayıcınızda devre dışı bırakabilirsiniz.

Firefox

Tip about:configFirefox adres çubuğuna bulmak security.csp.enableve ayarlayın false.

Krom

Disable Content-Security-PolicyCSP'yi devre dışı bırakmak için çağrılan uzantıyı yükleyebilirsiniz .