Cordova 从服务器加载外部内容

Question

有很多（几乎）类似的问题，但没有一个能解决我的问题。

我正在编写一个cordova 应用程序（目前仅在andoid 和ios 上进行测试），并且想从我的网络服务器加载数据（JSON 格式）。我使用 jQuerys $.ajax - 方法。

到目前为止我的代码：

$.support.cors = true;
var ret = -1;
$.ajax(url, {
    traditional: true,
    type: 'POST',
    url: url,
    contentType: 'text/plain',
    xhrFields: {
        withCredentials: false
    },
    data: dataString,
    success: function (data) {
        alert('Data recieved:');
        alert(data);
        ret = data;
    },
    error: function (xhr, ajaxOptions, error) {
        alert('There was an error');
        alert(error);
        alert(xhr.status);
    }
});
return ret;

这适用于浏览器（在最新的 Firefox 中测试），但不适用于应用程序。该错误似乎与跨源页面加载有关。

我的 config.xml 如下所示：

...
<plugin name="cordova-plugin-whitelist" spec="1" />
<access origin="*" />
...

服务器正在通过标头接受 cors-requests（否则它可能无法在浏览器中工作）：

<?php
header('Access-Control-Allow-Origin: *');
...

但仍然：cordova 不想加载任何东西。 alert(error); - 行显示：

SecurityError: 无法对“XMLHttpRequest”执行“open”：拒绝连接到“https://myHost.com/?someparams=foo”，因为它违反了文档的内容安全策略

cordova 有什么问题？

Answer 1

您可能必须在 index.html 中设置内容安全政策，以允许向托管您的服务的域发出请求。

<meta http-equiv="Content-Security-Policy" content="default-src 'self' <enter-your-domain-here> data: gap: https://ssl.gstatic.com;">

cordova-plugin-whitelist的自述文件有更多示例。

可以在here 找到有关内容安全策略元标记的更多信息。

Answer 2

基于@toskv的回答。检查您在 Cordova 中的 HTML 页面是否包含以下元标记：<meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com 'unsafe-eval'; style-src 'self' 'unsafe-inline'; media-src *">。默认情况下，元标记由 Cordova 添加并阻止 CORS 工作（如您所见，default-src 只允许使用 self）。

使用来自@toskv 的链接了解更多信息。

cordova-plugin-whitelist的自述文件有更多示例。

有关内容安全策略元标记的更多信息可以找到here。