Jenkins HTML Publisher Plugin：没有与 Jenkins 1.643 的外部链接

Question

我有一份 Jenkins 工作，我在其中生成一个 HTML 页面作为后期构建步骤，其中包含一个图像链接（HTML img 标记）。此 HTML 页面由 HTMLPublisher 插件针对每个作业发布。

这一直很有效。但由于我已将 Jenkins 更新到 v. 1.643，所以当我单击已发布的 HTML 页面时，我只会看到一个空白页面。

我尝试了很多东西，发现了以下奇怪的行为： 自更新以来，我无法将外部链接嵌入到我发布的 HTML 页面中。 如果我从外部位置 (img src="somelocation/xxx.jpg) 嵌入图像，则不会显示该图像。

如果我用 Firefox 检查 HTML 页面，我可以看到图像标签是灰色的，好像它是不可见的，但事实并非如此。

如果我嵌入一个普通的超链接，指向一个外部位置，我可以在显示的页面中看到该链接，但是当我点击它时，什么也没有发生。

就像 Jenkins 在这种情况下不允许外部链接一样。

请帮帮我:)

谢谢！

编辑：

感谢 Dave Bacher，他给了我正确的提示。 查看此页面以了解 Jenkins 的新安全策略。

https://wiki.jenkins-ci.org/display/JENKINS/Configuring+Content+Security+Policy#ConfiguringContentSecurityPolicy-Implementation

您必须放宽规则，以便再次允许嵌入外部图像。

为了测试它，只需在脚本控制台中输入以下内容：

System.setProperty("hudson.model.DirectoryBrowserSupport.CSP", "sandbox; img-src *;")

这将允许嵌入来自任何外部网站的图像。

如果您在 Ubuntu 上运行 Jenkins 并且想要永久设置它，只需编辑文件 /etc/default/jenkins.在 # arguments to pass to java 下添加以下行：

JAVA_ARGS="-Dhudson.model.DirectoryBrowserSupport.CSP=\"sandbox; img-src *;\""

Answer 1

您看到的问题可能与最近的security fixes 有关。有关如何放松 Jenkins 配置的详细信息，请参阅Configuring Content Security Policy wiki page。

可以通过设置系统属性hudson.model.DirectoryBrowserSupport.CSP修改Jenkins发送的CSP头：

如果它的值为空字符串，例如java -Dhudson.model.DirectoryBrowserSupport.CSP= -jar jenkins.war 则根本不会发送标头。

（警告！）这可能非常不安全，只能在查看整体安全设置后使用。

您可以使用Jenkins Script Console 尝试不同的设置。

也如 wiki 页面所述，确保您已升级到 HTML Publisher 1.10（或更高版本）。

Answer 2

我知道最初的问题是针对 Linux 的，但这也有助于 Windows 用户...如果您将 Jenkins 作为服务安装（从 Jenkins.exe 开始），您将需要更改 jenkins.xml 中的参数使该属性持续存在。

如果您要使用不安全的空白选项，请记住将参数放在引号中。下面是 jenkins.xml 中的示例行：

<arguments>-Xrs -Xmx1048m -XX:MaxPermSize=512m -Dhudson.lifecycle=hudson.lifecycle.WindowsServiceLifecycle "-Dhudson.model.DirectoryBrowserSupport.CSP= " -jar "%BASE%\jenkins.war" --httpPort=8080</arguments>

Answer 3

如果您使用的是 Red Hat，请更新 JENKINS_JAVA_OPTIONS