小编Anj*_*...的帖子

Chrome 18+:如何使用内容安全政策允许内联脚本？

Chrome 18 Dev/Canary刚刚发布,并且content_security_policy在某些扩展的清单中将需要.

我正在尝试让CSP为内联脚本工作,但我不知道我做错了什么或者这是否是Chrome 18错误.

manifest.json的:

{
    "name": "CSP Test",
    "version": "1.0",
    "manifest_version": 2,
    "options_page": "test.html",
    "content_security_policy": "default-src 'unsafe-inline'"
}

Run Code Online (Sandbox Code Playgroud)

的test.html:

<html><head>
<script type="text/javascript">
        alert("hello");
</script>
</head></html>

Run Code Online (Sandbox Code Playgroud)

在Chrome 18中,此解压扩展无法加载,显示错误:

无法从'[扩展名目录]'加载扩展程序. 'content_security_policy'的值无效.

如果我更改'unsafe-inline'为'self',扩展加载正常,但alert()不起作用,并且选项页面的控制台包含错误:

由于Content-Security-Policy,拒绝执行内联脚本.

在Chrome 16中,使用'unsafe-inline'让扩展程序加载正常并且也能alert()正常工作.但是,在Chrome 16中,替换'unsafe-inline'为'foo'让扩展加载,但当然不会让alert()工作,所以也许Chrome 18比16更严格,但......

是default-src 'unsafe-inline'居然无效,或者这是一个错误？我可以使用什么CSP值来alert()在Chrome 18中工作？

根据下面接受的答案,内联脚本不再适用于Chrome 18中的扩展程序.alert()需要将其放在自己的JavaScript文件中.

google-chrome google-chrome-extension content-security-policy

Chr*_*and

2019 10-24

30
推荐指数

2
解决办法

7万
查看次数