内容安全策略：页面设置阻止加载

Question

我在本地服务器中使用 WebSocket (wss://)，它可以正常工作：

• 无效的 SSL（我使用了 kubernate 并且需要 ssl）
• 没有反向代理 (Nginx)

但是当将此程序部署到将 nginx 配置为反向代理和有效 ssl（certbor，让我们加密）的服务器中时，我的程序无法运行，并且在 java 脚本 clent 中出现此错误，并且我在那里写了一些细节：

错误浏览器控制台：

内容安全政策：页面设置阻止加载 ws:/// 中的资源（“default-src”）。

错误指向的Java脚本代码：

var ws = new WebSocket('wss://' + location.host + '/<some-url>');

Nginx 配置：

user nginx;
worker_processes 1;
pid /var/run/nginx.pid;

events {
    worker_connections 1024;
}

http {

   include /etc/nginx/conf-enabled/*.conf;
   include /etc/nginx/sites-enabled/*.conf;


    server {
          listen       443;
          listen [::]:443 ;

          server_name  www.<my-domain> <my-domain>;

          location / {
            proxy_pass       http://127.0.0.1:<my-port>/;
            proxy_redirect off;
            proxy_set_header X-NginX-Proxy true;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Host $http_host;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_pass_request_headers on;
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
          }

          ssl_certificate /etc/letsencrypt/live/<my-domain>/fullchain.pem; # managed by Certbot
          ssl_certificate_key /etc/letsencrypt/live/<my-domain>/privkey.pem; # managed by Certbot
          include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
          ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot
    }



}

Answer 1

有2点：

1. 生产服务器在某处发布了 CSP 标头。 Spring Security 默认不添加内容安全策略，Nginx 可以这样做，但我在其配置中看不到：add_header Content-Security-Policy "default-src 'self'";。
   无论如何，检查servlet-headers-csp 是否有这样的：

@EnableWebSecurity
public class WebSecurityConfig extends
WebSecurityConfigurerAdapter {

@Override
protected void configure(HttpSecurity http) {
http
.headers(headers -> headers
.contentSecurityPolicy(csp -> csp
.policyDirectives("default-src 'self'")
)
);
}
}

或：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
            .contentSecurityPolicy("default-src 'self'");
    }
}

确保'self' 存在或将ws: 添加到现有规则中。在 https: 页面上 'self' 是阴险的 - 它只允许 https: 和 wss: （不是 http: 和 ws: - 无论如何这些将作为混合内容被阻止）。在 http: 页面上，'self' 允许 https:/wss:/http:/ws:.
最好将特定的 connect-src 'self' 或 connect-src ws://site.com wss:site.com 指令添加到您的 CSP。
@987654343 @如果不需要CSP，去掉相关即可：

http.headers()
  .contentSecurityPolicy("default-src 'self'");

1. In err: blocked the loading of a resource at ws:/// - ws:/// 表示new WebSocket('wss://' + location.host + '/<some-url>') location.host 是空的，所以 websocket 没有连接的地方。任何 CSP 都将阻止 ws:/// 源为无效。