在我的系统中更新 Cordova 5.0 后，我创建了新的应用程序。当我在设备上测试我的应用程序时，控制台日志中出现了错误:
No Content-Security-Policy meta tag found.
Please add one when using the Cordova-plugin-whitelist plugin.: 23.
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src: 'self' 'unsafe-inline' 'unsafe-eval'>
但是，我又一次遇到了同样的错误，在我使用的应用程序中，我使用了应用内浏览器插件和其他7个网站的链接。
您可以将以下代码添加到应用程序根目录中的config.xml文件中：
文档中推荐的方法是：
<allow-navigation href="http://example.com/*" />
<allow-navigation href="http://*/*" />
来自插件文档：
导航白名单
控制 WebView 本身可导航到哪些 URL。仅适用于顶级导航。
注意事项：在 Android 上，它还适用于非 http(s) 方案的 iframe。
默认情况下，只允许导航至 file:// URL。若要允许其他 URL，您必须在 config.xml 中添加
<allow-navigation>标签：<!-- Allow links to example.com --> <allow-navigation href="http://example.com/*" /> <!-- Wildcards are allowed for the protocol, as a prefix to the host, or as a suffix to the path --> <allow-navigation href="*://*.example.com/*" /> <!-- A wildcard can be used to whitelist the entire network, over HTTP and HTTPS. *NOT RECOMMENDED* --> <allow-navigation href="*" /> <!-- The above is equivalent to these three declarations --> <allow-navigation href="http://*/*" /> <allow-navigation href="https://*/*" /> <allow-navigation href="data:*" />
index.html的头部添加一个CSP元标签。Content Security Policy
Controls which network requests (images, XHRs, etc) are allowed to be made (via webview directly).
On Android and iOS, the network request whitelist (see above) is not able to filter all types of requests (e.g.
<video>& WebSockets are not blocked). So, in addition to the whitelist, you should use a Content Security Policy<meta>tag on all of your pages.On Android, support for CSP within the system webview starts with KitKat (but is available on all versions using Crosswalk WebView).
Here are some example CSP declarations for your
.htmlpages:<!-- Good default declaration: * gap: is required only on iOS (when using UIWebView) and is needed for JS->native communication * https://ssl.gstatic.com is required only on Android and is needed for TalkBack to function properly * Disables use of eval() and inline scripts in order to mitigate risk of XSS vulnerabilities. To change this: * Enable inline JS: add 'unsafe-inline' to default-src * Enable eval(): add 'unsafe-eval' to default-src --> <meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com; style-src 'self' 'unsafe-inline'; media-src *"> <!-- Allow requests to foo.com --> <meta http-equiv="Content-Security-Policy" content="default-src 'self' foo.com"> <!-- Enable all requests, inline styles, and eval() --> <meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'"> <!-- Allow XHRs via https only --> <meta http-equiv="Content-Security-Policy" content="default-src 'self' https:"> <!-- Allow iframe to https://cordova.apache.org/ --> <meta http-equiv="Content-Security-Policy" content="default-src 'self'; frame-src 'self' https://cordova.apache.org">
您的meta标签存在错误。
您的：
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src: 'self' 'unsafe-inline' 'unsafe-eval'>
已更正：
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'"/>
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'"/>时，使用Ionic框架的实时重新加载功能停止工作，因此请注意其他人。 - CommonSenseCodehttp://localhost:35729添加到script-src指令中，将ws://localhost:35729添加到connect-src指令中，并使用@codePlusPlus。 - kolliscript-src 'self' 'unsafe-inline' 'unsafe-eval'
替换为
script-src 'self' http://localhost:35279 'unsafe-inline' 'unsafe-eval'，
并且您需要在内容属性的末尾添加一个新指令，并用分号隔开：
; script-src ws://localhost:35279 - jessewolfe; connect-src 'self' ws://localhost:35279。请注意，在我添加了'self'之前，我一直收到一个错误（无法访问file://<path to index.html>，因为CSP违规）。 - jessewolfe对我来说，只需要重新安装白名单插件即可：
cordova plugin remove cordova-plugin-whitelist
然后
cordova plugin add cordova-plugin-whitelist
看起来从之前的Cordova版本更新不成功。
cordova platforms rm android
cordova platforms add android@5.1.1
cordova platforms rm ios
cordova platforms add ios@4.0.1
关于连接还有另一个问题。一些 Android 版本可以连接，但一些版本则不能。因此，这里提供了另一个解决方案。
在 AndroidManifest.xml 中：
<application ... android:usesCleartextTraffic="true">
...
</application>只需添加 'android:usesCleartextTraffic="true"'，问题终于解决了。
cordova-plugin-whitelist插件 - https://github.com/apache/cordova-plugin-whitelist ？之后，你需要在你的 config.xml 文件中添加<allow-navigation href="http://*/*" />。 - Keval