Установка contentSecurityPolicy, но img-src игнорируется - PullRequest
0 голосов
/ 09 ноября 2018

Начальная проблема:

Chrome "отказался загружать данные изображения": image / svg + xml: ......... '

Это относится к изображению стрелок, которое datatables использует для управления сортировкой. Похоже, решение состоит в том, чтобы немного ослабить CSP.

Попытка исправить: (в application.conf) contentSecurityPolicy = "img-src 'self' data :; script-src 'self' 'unsafe-eval' 'unsafe-inline' jquery-3.1.1.min.js * .facebook.net;"

Результат: Chrome по-прежнему отказывается загружать изображение и по-прежнему говорит: «Обратите внимание, что img-src не был установлен явно, поэтому« default-src »используется как запасной вариант.

Вопрос:

В Play Framework, как указать несколько директив в contentSecurityProvider, чтобы браузер уважал мой img-src. Даже если у меня не установлен должный уровень безопасности, я ожидаю, что браузер подтвердит, что я установил img-src.

Информация:

Play Framework 2.6 (Java) DataTables 1.10.19 JQuery 3.3.1

Спасибо за любой совет.

Твой приятель, latj

1 Ответ

0 голосов
/ 27 ноября 2018

Вы должны использовать img-src 'self' data: *; точно или даже что-то вроде img-src 'self' data: *.example.com;.

Так что в вашем случае это будет выглядеть так:

"img-src 'self' data: *; script-src 'self' 'unsafe-eval' 'unsafe-inline' jquery-3.1.1.min.js *.facebook.net;"

Если это не поможет, покажите журнал консоли Google Chrome.

...