内容安全策略错误https://ssl.gstatic.com

Question

我在下面的屏幕截图中捕获到一个错误：

内容为：

拒绝将字符串评估为JavaScript，因为在以下内容安全策略指令中不允许使用'unsafe-eval'脚本源：“ default-src文件：data：chrome-extension：https : //ssl.gstatic.com ” 。请注意，未明确设置“ script-src”，因此将“ default-src”用作备用。

我在做什么错，我该如何解决Content-Security-Policy错误？

以下是我的index.html中的元标记：

<meta http-equiv="Content-Security-Policy" 
    content="default-src * 'self' 'unsafe-eval' 'unsafe-inline' 
    data: ssl.gstatic.com https://ssl.gstatic.com; 
    style-src * 'self' 'unsafe-inline' 
    chrome-extension: ssl.gstatic.com; 
    script-src * 'unsafe-inline' 'unsafe-eval' 'self' 
    chrome-extension: file: data: http: https: ssl.gstatic.com
 https://ssl.gstatic.com">

我正在使用带有Onsen UI的CCA。

Answer 1

您的问题被标记为Google Chrome应用问题。

Chrome应用必须遵守非常具体的CSP ，并且不能覆盖它。

default-src 'self';
connect-src *;
style-src 'self' data: chrome-extension-resource: 'unsafe-inline';
img-src 'self' data: chrome-extension-resource:;
frame-src 'self' data: chrome-extension-resource:;
font-src 'self' data: chrome-extension-resource:;
media-src *;

您的Chrome应用只能引用应用中的脚本和对象，但媒体文件除外（应用可以引用包外部的视频和音频）。Chrome扩展程序可让您放宽默认的内容安全政策；Chrome应用不会。

然后，该文档将继续提供有用的“我如何..”部分。看看它，看看什么适合您的需求。