4

我正在使用 oidc-client 构建一个 SPA，以登录到使用 Identity Server 4 构建的 IDP。

登录重定向似乎工作正常，但在 Firefox 上我遇到了以下 CSP 问题

在此处输入图像描述

Content Security Policy: Ignoring "'unsafe-inline'" within script-src or style-src: nonce-source or hash-source specified  (unknown)
Content Security Policy: The page's settings blocked the loading of a resource at self ("script-src 'unsafe-inline' 'sha256-VDXN0nOpFPQ102CIVz+eimHA5e+wTeoUUQj5ZYbtn8w='"). Source: !function(t){function __webpack_require_....  checksession:1
Content Security Policy: The page's settings blocked the loading of a resource at self ("script-src 'unsafe-inline' 'sha256-VDXN0nOpFPQ102CIVz+eimHA5e+wTeoUUQj5ZYbtn8w='"). Source: window.devToolsOptions = Object.assign(w....  checksession:1
Load denied by X-Frame-Options: http://localhost:5007/home/error?errorId=a74accc61bb821ee1f42f7013a306e90 does not permit cross-origin framing.  (unknown)

我没有在我的 SPA 上设置任何 CSP 元标记，我想知道是否必须这样做。稍微挖掘一下，似乎 oidc-client 正在我的应用程序中添加一个 iframe，它指向 Identity Server 中的 checksession 页面（其中确实包括 CSP 标头“default-src 'none'; script-src 'unsafe-inline' ” sha256-VDXN0nOpFPQ102CIVz+eimHA5e+wTeoUUQj5ZYbtn8w='")

有人可以帮我解决这个问题或引导我走向正确的方向吗？我对 CSP 的了解非常基础。

4

1 回答 1

1

这是 Redux devtools 插件试图在页面上注入他们的代码。

于 2017-06-22T18:05:11.070 回答