Політика безпеки вмісту: Налаштування сторінки заблокували завантаження ресурсу

Я використовую CAPTCHA під час завантаження сторінки, але він блокується з певних причин безпеки.

Я стикаюся з цією проблемою:

    Політика безпеки вмісту: Налаштування сторінки заблокували завантаження
    ресурсу в
    http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit
    ("script-src http://test.com:8080 'unsafe-inline' 'unsafe-eval'").

Я використав такий JavaScript та метатег:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
<script src="http://www.google.com/recaptcha/api.js?onload=myCallBack&render=explicit" async defer></script>

Ви сказали, що можете завантажувати сценарії лише зі свого веб-сайту (самостійно). Потім ви спробували завантажити скрипт з іншого сайту ( www.google.com ), і, оскільки ви обмежили це, не можете. У цьому вся суть Політики безпеки вмісту (CSP).

Ви можете змінити свій перший рядок на:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval' http://www.google.com">

Або ж, можливо, варто повністю видалити цей рядок, поки ви не дізнаєтесь більше про CSP. Ваш поточний CSP у будь-якому випадку є досить слабким (що дозволяє unsafe-inline, unsafe-evalта й default-srcз-поміж *), тому, ймовірно, це не додає занадто великої вартості, чесно кажучи.

З моїм проектом ASP.NET Core Angular, що працює в Visual Studio 2019, іноді я отримую таке повідомлення про помилку в консолі Firefox:

Політика безпеки вмісту: Налаштування сторінки заблокували завантаження ресурсу вбудовано (“default-src”).

У Chrome повідомлення про помилку натомість:

Не вдалося завантажити ресурс: сервер відповів статусом 404 ()

У моєму випадку це не мало нічого спільного з моєю Політикою безпеки вмісту, а натомість було просто результатом помилки TypeScript з мого боку.

Перевірте вихідне вікно IDE на наявність помилки TypeScript, наприклад:

> ERROR in src/app/shared/models/person.model.ts(8,20): error TS2304: Cannot find name 'bool'.
>
> i ｢wdm｣: Failed to compile.

_{Примітка. Оскільки це запитання є першим результатом цього повідомлення про помилку в Google.}

У мене був подібний тип помилки. По-перше, я намагався додати мета-теги в код, але це не спрацювало.

Я дізнався, що на веб-сервері nginx у вас може бути налаштування безпеки, яке може заблокувати зовнішній код для запуску:

# Security directives
server_tokens off;
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'  https://ajax.googleapis.com  https://ssl.google-analytics.com https://assets.zendesk.com https://connect.facebook.net; img-src 'self' https://ssl.google-analytics.com https://s-static.ak.facebook.com https://assets.zendesk.com; style-src 'self' 'unsafe-inline' https://assets.zendesk.com; font-src 'self' https://fonts.gstatic.com  https://themes.googleusercontent.com; frame-src https://player.vimeo.com https://assets.zendesk.com https://www.facebook.com https://s-static.ak.facebook.com https://tautt.zendesk.com; object-src 'none'";

Перевірте Політику щодо захисту вмісту. Можливо, вам доведеться додати посилання на джерело.

Мені вдалося дозволити всі мої необхідні сайти з цим заголовком:

header("Content-Security-Policy: default-src *; style-src 'self' 'unsafe-inline'; font-src 'self' data:; script-src 'self' 'unsafe-inline' 'unsafe-eval' stackexchange.com");                    

Я обійшов це шляхом оновлення як версії Angular, якою я користувався (з v8 -> v9), так і версії TypeScript (з 3.5.3 -> останньої).

Ви можете вимкнути їх у своєму браузері.

Firefox

Введіть about:configв адресному рядку Firefox, знайдіть security.csp.enableі встановіть для нього значення false.

Chrome

Ви можете встановити розширення, що викликається Disable Content-Security-Policyдля відключення CSP.