Firebase标头CSP规则

Question

所以我知道我可以<meta>在我的网站上添加CSP .但是,我读到最好将这些添加到HTTP标头中.我检查了Firebase文档并查看以下内容:

我们目前支持以下标题作为关键:... Content-Security-Policy.

但是,我找不到任何关于如何格式化文件中的规则的示例.我可能会过度思考这个问题,但是如何向我的Firebase标头添加规则来覆盖这个:

Refused to load the script 'data:application/javascript;base64,dmFyIHVyY2hpblRyYWNrZXI9ZnVuY3Rpb24oKXt9…RUcmFja2VyQnlOYW1lOiBmdW5jdGlvbigpe190cmFja0V2ZW50OiBmdW5jdGlvbigpe319fTs=' because it violates the following Content Security Policy directive: "script-src 'self' 'unsafe-inline' https://f.vimeocdn.com https://ssl.google-analytics.com https://js-agent.newrelic.com https://bam.nr-data.net https://f.vimeocdn.com".

Answer 1

Firebase托管不会强制执行标头的格式设置,因此要获得您想要的确切结果,您只需要弄清楚如何格式化标头.本指南看起来非常全面,可以帮助您入门.

要将CSP标头实际应用到您的Firebase托管网站,您需要更改您的firebase.json.例如:

{
  "hosting": {
    "headers": [{
      "source":"**",
      "headers": [
        {"key":"Content-Security-Policy","value":"script-src 'self'"}
      ]
    }]
  }
}

有关详细信息,请参阅Firebase托管文档.