我正在使用 nginx 来设置 CSP 标头。
我经常在示例中看到这一点：
default-src 'self' http: https: data: blob: 'unsafe-inline' 'unsafe-eval' https://*.foo.com;
我了解https://*.foo.com 允许从foo.com 域加载。
但是“空”http: 和 https: 声明的含义是什么？
【问题讨论】：
标签： nginx http-headers content-security-policy
这意味着允许来自该协议的所有站点的内容。例如：
就目前而言，该政策基本上允许一切，而且毫无意义！
【讨论】：
https://*.foo.com 毫无意义，因为该方案中的任何内容都是允许的？
http:、data:、blob:，因为它们也不够具体。
default-src: https: ‘unsafe-inline’ ‘unsafe-eval’ ; upgrade-insecure-requests 可以用来强制 https 作为开始而不阻塞任何东西。然后制定更严格的政策。或者可以添加更严格的script-src、style-src...等。但允许图像和视频回退到default-src。虽然在这种情况下首选是严格的default-src，然后是宽松的image-src。