Content-Security-Policy HTTP 标头参考： https://content-security-policy.com/
Chrome 错误：jQuery 字体错误：'font-src' 没有明确设置，所以 'default-src' 被用作后备
我最近为我们的 Web 服务器强制实施了一个新的 Content-Security-Policy 标头，并在 jQuery 1.11.3 字体中遇到了这个问题。不幸的是，它是一个遗留的 Web 应用程序，并且依赖于这个旧版本的 jQuery。
有没有示例说明如何为 NGINX 网络服务器正确设置 font-src 标头？
【问题讨论】：
标签： nginx fonts content-security-policy
所以这是来自gist：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://ssl.google-analytics.com https://assets.zendesk.com https://connect.facebook.net; img-src 'self' https://ssl.google-analytics.com https://s-static.ak.facebook.com https://assets.zendesk.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://assets.zendesk.com; font-src 'self' https://themes.googleusercontent.com; frame-src https://assets.zendesk.com https://www.facebook.com https://s-static.ak.facebook.com https://tautt.zendesk.com; object-src 'none'";
特别相关的是：
font-src 'self' https://themes.googleusercontent.com;
基本上，如果您有一堆规则，您应该用分号分隔每个规则，然后用引号将“特殊”规则分隔，并且任何域（如 fonts.google.com）都可以用空格键列出，不带引号。它是完全相同的语法元标记 Http 等效的 Content-Security-Policy 标头。
【讨论】：