type
Post
status
Published
date
May 14, 2024
slug
summary
Content-Security-Policy 配置
tags
问题集（技术）
category
icon
password
背景
自己系统接入第三方系统使用PostMessage交互，在自己系统内打开第三方页面，涉及到跨域加载资源问题
📝 现象1
解析
浏览器console的Error显示是SCP中img-src的策略没有允许http://10.71.169.172:7071这个域，而配置只允许self、http://10.71.169.172 http://10.71.169.28，明显域对不上（域是包含端口的），所以配置将http://10.71.169.172:7071加上，重新加载Nginx，清除浏览器cookie在重试问题解决
解决
📝 现象2
解析
script-src 'self'，表示脚本只允许同源才能执行，需要放开限制但会引入风险，但大部分情况为了调用其他开源的脚本不得不开放。 改为 script-src 'self' 'unsafe-inline' 'unsafe-eval'即可
解决
🤗 总结归纳
途中一以为是self导致的将其去掉结果不行，想当然了，需要保持逻辑不变，所以将对应域加上即可。测试前需要强制加载页面或者清理cookie或者禁用缓存再试不然会出现配置不生效。
有关问题，欢迎您在底部评论区留言，一起交流~
- 作者:chenyou
- 链接:https://blog.chenyou.top/article/195fe31e-f04c-424f-b108-816d5b124c48
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
