内容安全策略科尔多瓦问题答案

【问题标题】：Content Security Policy cordova problems内容安全策略科尔多瓦问题
【发布时间】：2017-04-02 11:03:00
【问题描述】：

我在 Windows 电脑上使用 ionic 制作了一个应用程序，现在当切换到 Mac 时，我从控制台收到此错误

"拒绝加载 https://lorem.firebaseio.com/.lp?start=t&ser=59502592&cb=11&v=5 因为它没有出现在 Content 的 script-src 指令中安全”。

我已经尝试在我的标题中修改我的 CSP 标记，但我似乎无法让它工作。我也尝试重新添加所有插件/平台/资源。

我现在使用的标签是

 <meta http-equiv="Content-Security-Policy" content="default-src * data: cdvfile: gap:; style-src 'self'  https://cdn.firebase.com https://*.firebaseio.com https://lorem.firebaseio.com/*; script-src 'self' 'unsafe-eval'">

我也想知道为什么我不能像过去那样将它添加到我的白名单插件中

  <allow-navigation href="*"/>
  <allow-navigation href="http://192.168.178.13:8100"/>
  <allow-intent href="*.firebaseio.com"/>
  <allow-intent href="auth.firebase.com"/>

------------------ 编辑 ----- ------------

为了解决我所有的问题，我使用了这 3 个标签

content="default-src * data: cdvfile: gap:; 
      style-src 'self'  'unsafe-inline';
      img-src 'self' 'unsafe-inline';
      script-src 'self' https://lorem.firebaseio.com/* 
                        https://cdn.firebase.com
                        https://*.firebaseio.com
                        'unsafe-eval'">

【问题讨论】：

标签： cordova ionic-framework firebase-authentication content-security-policy

【解决方案1】：

您已经在 style-src 部分添加了您的 url，如果您尝试加载远程脚本源，您必须在 script-src 部分添加您的源 url。

<meta http-equiv="Content-Security-Policy" 
      content="default-src * data: cdvfile: gap:; 
      style-src 'self'  https://cdn.firebase.com
                        https://*.firebaseio.com
                        https://lorem.firebaseio.com/*;
      script-src 'self' https://lorem.firebaseio.com/* 'unsafe-eval'">

【讨论】：