YouTube.com 的有效内容安全策略定义

Question

我为使用 JavaScript 文件的应用程序之一定义了内容安全策略，https://www.youtube.com/iframe_api如下所示；

<meta http-equiv="Content-Security-Policy"
content="script-src 'self' https://www.youtube.com;
child-src https://www.youtube.com;">

现在在 chrome 开发工具上，我收到以下错误：

拒绝加载脚本“ https://s.ytimg.com/yts/jsbin/www-widgetapi-vflaaT2_k/www-widgetapi.js ”，因为它违反了以下内容安全策略指令：“script-src 'self' https ://www.youtube.com ”。

我应该添加https://s.ytimg.com到内容安全策略设置中吗？

如果是，它是否构成安全风险，因为无法保证它是否会随着时间的推移而改变？

如何有效定义 YouTube 的内容安全策略？

Answer 1

是的，这正是您需要做的。Ytimg 是 YouTube 的静态文件 CDN。