无法识别的Content-Security-Policy指令

Question

我注意到在更新到谷歌浏览器(21.0.1180.89)后,我在开发者选项卡中收到了大量错误; 特别是如果我访问我自己的phpMyAdmin网站.

对于跨站脚本,它们都是相同的并且是某种安全性; 有什么我可以解决的吗？

Unrecognized Content-Security-Policy directive 'allow'. 
Unrecognized Content-Security-Policy directive 'options'. 

Answer 1

和指令allow都是optionsMozilla 内容安全策略原始定义的一部分。Chrome 实现了当前的 W3C 标准，该标准对 Mozilla 的原始提案进行了一些更改。

• allow已替换为default-src, 并为其他 CSP 指令设置默认源列表。
• options已被替换为or指令上的'unsafe-inline'and 'unsafe-eval'（带单引号）源。script-srcstyle-src

这两个旧式指令仍然可以在 Firefox 中使用X-Content-Security-Policy标头。如果网站提供带有 WebKit 前缀的标头 ( X-WebKit-CSP)，则应使用当前标准。

请注意，WebKit 已在 trunk 中实现了无前缀标头 ( Content-Security-Policy)，并且应该会在接下来的几个月内推出到稳定的基于 WebKit 的浏览器。如果您还没有设置规范标头，那么现在是开始考虑它的好时机。:)