在javascript中发送http请求会导致错误

Question

function callApi(url){
    debugger;

    var oReq = new XMLHttpRequest();
    oReq.addEventListener("load", reqListener);
    oReq.open("GET", url);
    oReq.setRequestHeader('Authorization', 'Bearer 3Zx7SfvX4zsvbiGhvW4hAA..');
    oReq.send();

    //buildPage(xhr.responseText, mainDiv);
}

给出错误——拒绝连接到“http://dummysite/psupadmin/v1/contexthelp/mypayslip/25/”，因为它违反了以下内容安全策略指令：“connect-src 'self'”。

从https://dummysite调用这个网络服务

注意请求调用的是 http 而不是 https

callApi("https://dummysite/psupadmin/v1/contexthelp/mypayslip/25");

上面的函数调用

Answer 1

the documentation 是这么说的：

HTTP Content-Security-Policy 响应标头允许网站 管理员控制允许用户代理加载的资源 对于给定的页面。除少数例外，政策主要涉及 指定服务器来源和脚本端点。这有助于保护 防止跨站点脚本攻击 (XSS)。

我认为它几乎解释了一切。

connect-src:self 是网络服务器配置中的 HTTP 指令，这意味着网络服务器不响应跨站点查询（来自其他域名的 JavaScript 客户端查询）。

如果它是您的网络服务器，那么您可以轻松更改该值，如果不是，那么您就无能为力了，因为它是服务器管理员故意制定的安全功能。