Apache - Permissions-Policy 标头错误：由于结构标头解析器报告的错误，权限策略解析失败

Question

我最近尝试更新我托管的非营利网站的服务器上的设置，但遇到了与权限策略有关的配置问题。我没有找到很多用于此设置的正确用例和语法示例，因此在 cimarronoutdoors.org 的 Chrome 控制台中遇到了错误。这是我正在尝试的权限策略。

Header always set Permissions-Policy "geolocation=();midi=();microphone=();camera=();fullscreen=(self);payment=()"

在控制台中它返回以下内容。

Permissions-Policy 标头出错：由于结构标头解析器报告错误，权限策略解析失败。

我已尝试仅列出下面链接中的项目并将其限制为几个，以查看这是否可能是问题，但我无法让错误消失。

https://github.com/w3c/webappsec-permissions-policy/blob/main/features.md

对于这个问题的任何建议将不胜感激。

• 服务器操作系统：Ubuntu 16.04.7 LTS
• 站点配置文件中设置的权限策略。

Answer 1

我发现方案从microphone 'none'; geolocation *; payment https://*.paypal.com;变成了microphone=(),geolocation=*,payment=("https://*.paypal.com")。

目前下面的代码是有效的，所以它不会产生也不会产生“我们没有检测到可行的政策”。在securityheaders.com 上，“Permissions-Policy 标头错误：由于结构化标头解析器报告的错误，权限策略解析失败。”在 Google Chrome 控制台中。

请记住在配置中正确转义双引号，使用逗号而不是分号（如上所述）并使用“新格式”。

nginx.conf 示例：

add_header Permissions-Policy "accelerometer=(),autoplay=(),camera=(),encrypted-media=(),fullscreen=*,geolocation=*,gyroscope=(),magnetometer=(),microphone=(),midi=(),payment=(\"https://*.paypal.com\" \"https://*.barion.com\"),sync-xhr=*,usb=(),xr-spatial-tracking=()" always;

apache.conf 示例：

Header always set Permissions-Policy "accelerometer=(),autoplay=(),camera=(),encrypted-media=(),fullscreen=*,geolocation=*,gyroscope=(),magnetometer=(),microphone=(),midi=(),payment=(\"https://*.paypal.com\" \"https://*.barion.com\"),sync-xhr=*,usb=(),xr-spatial-tracking=()"

Answer 2

创建 Permission-Policy 的方式已经改变。

您必须在列表周围添加括号，使用逗号而不是分号，并在大多数字符串周围添加双引号：

fullscreen=(self 'https://example.com'), geolocation=*, camera=()

这是一个链接：Appendix: Big changes since this was called Feature Policy

Answer 3

使用逗号代替分号作为分隔符。

参见此处的示例：

https://www.w3.org/TR/permissions-policy-1/#policy-directive