我正在尝试按照code-push文档部署我的应用程序。然后,我将以下内容添加到我的应用程序index.html中的content-security。
<meta http-equiv="Content-Security-Policy" content="default-src https://codepush.azurewebsites.net 'self' data: gap: https://ssl.gstatic.com 'unsafe-eval'; style-src 'self' 'unsafe-inline'; media-src *">
我添加完之后,我的应用程序就无法运行了。当我运行我的 Cordova 浏览器时,在控制台中看到了许多错误。原来是我的样式文件来自 Github,我的图像来自 mysite.com/...,我的其他外部脚本和 goopleapis 都不符合我的安全策略。
<meta http-equiv="Content-Security-Policy" content="default-src * 'self' data: gap: https://ssl.gstatic.com 'unsafe-eval'; style-src 'self' 'unsafe-inline'; media-src *">
现在它能够很好地工作。我的问题是,安全影响是什么?我应该保持这种方式吗?我应该如何更好地做到这一点?任何帮助或意见将不胜感激。我担心离开 * 可能会允许旨在停止的攻击。