是否可以通过外部脚本覆盖/删除页面内容安全策略？

Question

我正在为单个网页编写一个外部脚本，我需要通过此脚本向另一个资源发出 POST JSON 请求。

但是，当我这样做时，它会引发 CSP 错误："Refused to connect to <URL> because it violates the following Content Security Policy directive: "connect-src 'self'"。

我查看了网页并看到包含 CSP 内容的 Content-Security-Policy 的元标记。但是，我尝试手动将我的 <URL> 添加到 CSP connect-src 内容，但它仍然无法正常工作。

问题：

• 我可以通过外部脚本更改 CSP 吗？如何？
• 可能有任何解决方法？

Answer 1

错误消息是说需要更改的设置：

它违反了以下Content Security Policy directive: "connect-src 'self'"

所以你需要将'connect-src'指令设置为'self'以外的东西，这可能是默认设置的。

您说您尝试添加您尝试连接的 URL。这不太正确 - 您只需添加主机部分，而不是任何路径。

所以 CSP 标头的 connect-src 部分应如下所示：

connect-src 'self' https://*.example.com

如果您用您尝试过的方法更新您的问题，如果仍然无法正常工作，则可以诊断出确切的错误。