使用 .htaccess 添加 HTTP 标头以确保安全性会破坏 WordPress 站点上的图像答案

【问题标题】：Adding HTTP headers for security using .htaccess breaks images on WordPress site使用 .htaccess 添加 HTTP 标头以确保安全性会破坏 WordPress 站点上的图像
【发布时间】：2021-11-08 19:14:04
【问题描述】：

当我在我的 .htaccess 文件中添加此代码时。我所有的标题都是安全的，但是我的图像不起作用。删除此代码后，图像工作正常。

有什么建议可以保护我的 WordPress 网站 HTTP 标头吗？

<ifModule mod_headers.c>
    Header set Strict-Transport-Security "max-age=31536000" env=HTTPS
    Header set X-XSS-Protection "1; mode=block"
    Header set X-Content-Type-Options nosniff
    Header set X-Frame-Options DENY
    Header set Referrer-Policy: no-referrer-when-downgrade
    Header set Content-Security-Policy default-src 'self'; script-src 'unsafe-inline' 'unsafe-eval' http:; style-src 'unsafe-inline' http:; img-src http: data:; font-src http: data:; sandbox allow-forms allow-scripts
    Header set Permissions-Policy 'self'
</ifModule>

【问题讨论】：

你试过添加“image-src 'self'”吗？
您可以尝试一次设置一个标题，看看是哪一个导致了问题吗？

标签： wordpress image apache .htaccess http-headers

【解决方案1】：

您可以尝试以下方法吗？我已经删除了img-src http: data:;

<ifModule mod_headers.c>
    Header set Strict-Transport-Security "max-age=31536000" env=HTTPS
    Header set X-XSS-Protection "1; mode=block"
    Header set X-Content-Type-Options nosniff
    Header set X-Frame-Options DENY
    Header set Referrer-Policy: no-referrer-when-downgrade
    Header set Content-Security-Policy default-src 'self'; script-src 'unsafe-inline' 'unsafe-eval' http:; style-src 'unsafe-inline' http:; font-src http: data:; sandbox allow-forms allow-scripts
    Header set Permissions-Policy 'self'
</ifModule>

【讨论】：