Facebook登录所需的CSP规则

Question

允许Facebook登录的必备规则是哪些？

我目前允许这些:

defaultSrc: ["'self'",
        '*.facebook.com',
        '*.akamaihd.net'],
        scriptSrc: ["'self'",
         '*.facebook.com',
         '*.akamaihd.net',
         "'unsafe-inline'",
         "'unsafe-eval'"],
        frameSrc: [
        "'self'",
        '*.facebook.com',
        '*.akamaihd.net',
        styleSrc: ["'self'",
         "'unsafe-inline'"],
        imgSrc: ["'self'",
        '*.akamaihd.net',
        '*.facebook.com']

Answer 1

我只用

{
  'default-src': "'none'",
  'script-src': "'self' 'unsafe-inline' 'unsafe-eval' connect.facebook.net",
  'connect-src': "'self'",
  'img-src': "'self' www.facebook.com",
  'style-src': "'self' 'unsafe-inline'",
  'frame-src': "s-static.ak.facebook.com static.ak.facebook.com www.facebook.com",
}

但我不确定是否缺少任何东西。我认为您不需要允许，*.akamaihd.net因为这只是 Facebook 使用的 CDN，并且 Facebook 登录不需要它。

更新：正如下面的评论所述，该解决方案违背了 CSP 的目的，并且绝对不推荐，因为它不安全。