Отказ от фрейма '', поскольку он нарушает следующую безопасность содержимого (URL-адрес пустого фрейма)

Question

У меня есть Jira экземпляр, работающий под nginx , и у нас есть CSP , настроенные в nginx .

Сейчас мы устанавливаем приложение, которое генерирует ссылки, которые запускают расширение браузера, URL начинаются с goedit :

Производитель приложения предлагает этот CSP header:

add_header Content-Security-Policy

default-src https: goedit: wss: 'unsafe-inline' 'unsafe-eval'; 
img-src https: data: 'unsafe-inline'" always;

Я сейчас пытаюсь включить это в наш CSP-заголовок.Наш заголовок CSP включает

frame-src '' https://assets.zendesk.com https://www.facebook.com https://$server_name;

Когда я сейчас нажимаю на одну из ссылок для этого приложения, я получаю в консоли следующее сообщение об ошибке:

Отказался от фрейма '', поскольку он нарушаетследующие Политика безопасности контента

directive: "frame-src https://assets.zendesk.com https://www.facebook.com https://my-server.dein-james.de".

Мне интересно: что мне нужно вставить в frame-src, чтобы разрешить ссылки такого типа ('')?

Я бы предпочел не отбрасывать всю часть frame-src, я хочу сохранить эти белые списки.

заранее спасибо Jens

Answer 1

Хотя это старое, я обнаружил, что:

1. Решение Стефана работает.
2. У меня была ситуация, когда динамические фреймы (то есть, если фрейм добавлен динамически) пытались загрузитьpdf для хорошего отображения (в chrome), и хотя scp содержал «self» для frame-src, а pdf был из текущего домена, некоторые пользователи не могли видеть содержимое, их консоли показывали вышеуказанную ошибку.После того, как возиться, обнаружил, что просто есть настройка для настройки в браузере Chrome - зайдите в настройки, найдите «pdf» и найдите раздел, где вы можете выбрать для pdf настройку, которая автоматически загружает pdf, вместо отображения в браузере..

Answer 2

Я знаю, что это довольно старая тема, но сегодня я столкнулся с подобной проблемой.С моим я использовал данные: в объекте-src, и я должен был обеспечить данные: был тогда в frame-src.

Поэтому я бы проверил, что в frame-src вы включаете какие-либо схемы, я подозреваю, что это может быть goedit: или wss: в вашем примере?