Django,内容安全政策指令

Question

我正在尝试使用以下内容将font-awesome导入我的应用程序:

<link href="//maxcdn.bootstrapcdn.com/font-awesome/4.3.0/css/font-awesome.min.css" rel="stylesheet" type="text/css">

这将在JS控制台中返回以下错误:

拒绝加载样式表' http://maxcdn.bootstrapcdn.com/font-awesome/4.3.0/css/font-awesome.min.css ',因为它违反了以下内容安全策略指令:"style-src'self ''不安全 - 内联'".

Django应用程序是一个djangae(Django + GoogleAppEngine)示例应用程序,我将其用作我想要的起点.https://github.com/davide-ceretti/googleappengine-djangae-blog.

导入发生在base.html中.我怎样才能解决这个问题？我认为这是一个设置,但我无法追踪它.

ps我为另一个导入得到了同样的错误:

<link href='http://fonts.googleapis.com/css?family=Lora:400,700,400italic,700italic' rel='stylesheet' type='text/css'>

Answer 1

将其添加到您的settings.py:

# Keep our policy as strict as possible
CSP_DEFAULT_SRC = ("'none'",)
CSP_STYLE_SRC = ("'self'", 'fonts.googleapis.com')
CSP_SCRIPT_SRC = ("'self'",)
CSP_FONT_SRC = ("'self'", 'fonts.gstatic.com')
CSP_IMG_SRC = ("'self'",)

并查看http://www.w3.org/TR/CSP/

Answer 2

使用内容安全策略保护 django 应用程序非常简单，在您的情况下，标题应如下所示：

Content-Security-Policy: default-src 'none'; script-src 'self' www.google-analytics.com; connect-src 'self'; img-src 'self' www.google-analytics.com; style-src 'self' fonts.googleapis.com; font-src 'self' fonts.gstatic.com;

1. pip 安装 django-csp
2. 调整项目的设置模块以将“django-csp”中间件添加到您的中间件类中
3. 添加上面的CSP头

更多资源：

http://django-csp.readthedocs.io/en/latest/

https://www.templarbit.com/blog/2018/06/14/content-security-policy-with-django