CSP 标头仅在 Firefox 中阻止 iframe 中的文件下载答案

【问题标题】：CSP header blocks file download in iframe in firefox onlyCSP 标头仅在 Firefox 中阻止 iframe 中的文件下载
【发布时间】：2017-05-16 18:31:26
【问题描述】：

我正在 iframe 中启动我的网站。我正在使用以下 CSP 标头：

default-src 'self'; frame-ancestors: 'self'; img-src 'self' data:

我正在尝试使用以下方式从客户端下载文件：

var a = doc.createElement('a');
a.download ='download.pdf';
a.href = 'data:application/pdf;base64,' + pdfdata;
doc.body.appendChild(a);
a.onclick = function () {
    a.parentNode.removeChild(a);
};
a.click();

在 Chrome 和 IE 中，文件正在成功下载。但对于 Firefox，我看到以下 CSP 错误：

内容安全政策：页面设置阻止加载数据资源：application/pdf;base64,JVBERi0xLjcK...（“default-src 自我”）。

我无法理解为什么它只对 Firefox 失败。

【问题讨论】：

这似乎是 Firefox 的问题。我在 Bugzilla bugzilla.mozilla.org/show_bug.cgi?id=1365502 记录了一个错误

标签： javascript firefox iframe content-security-policy

【解决方案1】：

这是 Firefox 问题。我已针对此问题记录了以下错误，现在 Bugzilla 团队已确认。 https://bugzilla.mozilla.org/show_bug.cgi?id=1365502

您也可以查看以下网址来重现此问题 http://data-uri-download-csp.bitballoon.com/

【讨论】：