内容安全策略 - 在img-src中忽略data:image/svg+xml

Question

内容安全策略 - 在img-src中忽略data:image/svg+xml

14

我的CSP头部看起来像这样（实际上，它只与加载图像有关），应该是有效的。但Chrome抱怨说：“内容安全策略指令'img-src'的源列表包含无效源：'data:image/svg+xml'。它将被忽略。”

img-src data:image/svg+xml 'self' https://stats.g.doubleclick.net/r/collect https://www.facebook.com/tr/ https://www.google-analytics.com/r/collect data:image/svg+xml;

它应该是有效的，我在网上找到了一些例子，但它并不起作用。例如，在这里建议使用https://security.stackexchange.com/questions/94993/is-including-the-data-scheme-in-your-content-security-policy-safe/95011#95011

请提供一个有效且可行的示例，我在这个迷宫中迷失了。

- David Votrubec

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Aleš Roubíček · Accepted Answer

你的CSP示例无效。根据MDN文档，您应该仅使用主机、模式或其他常量值。更正后，您的示例应如下所示：

img-src 'self' https://stats.g.doubleclick.net/ https://www.facebook.com/ https://www.google-analytics.com/ data:;