CSP 阻止来自 jquery 和 AWS S3 的所有脚本和图像

Question

我构建了一个 ExpressJS 应用程序并将其部署在 Heroku 上。

但我的图片无法加载，脚本也无法运行...

这是我的控制台日志中的两个错误：

拒绝加载https://code.jquery.com/ui/1.12.1/jquery-ui.js，因为它没有出现在内容安全策略的 script-src 指令中。

拒绝加载https://bucket.s3.eu-west-3.amazonaws.com/log.png，因为它没有出现在内容安全策略的“img-src”指令中。

我尝试为 CSP 添加带有更改的标签，我尝试使用设置的标头更改 CSP，但我认为这不起作用，并且有些东西阻止了我对 CSP 的更改...

请帮帮我！

非常感谢

Answer 1

您需要添加img-src 指令。例如，我使用的是helmet，在我的 Express server.js 中，我有以下内容：

    app.use(helmet());
    app.use(
        helmet.contentSecurityPolicy({
            directives: {
                ...helmet.contentSecurityPolicy.getDefaultDirectives(),
                'img-src': ["'self'", 'https://bucket-name.s3.region.amazonaws.com'],
            },
        }),
    );