asp.net - 为什么 web.config 文件会为 CSP 中的不安全内联引发无法识别的错误？

Question

我尝试在 asp.net web-form 项目的 web.config 文件中应用 csp。但是，我收到无法识别的不安全内联错误。

<system.webServer>
<httpProtocol>
  <customHeaders>
    <add name="Content-Security-Policy" value=" 'unsafe-inline'" />.

我尝试在值中使用 default-src、safe、unsafe-eval。他们都在抛出无法识别的错误。

你能给我提供任何资源来解决这个问题吗？

Answer 1

您会看到此错误，因为'unsafe-inline'不使用指令指定不是有效的内容安全策略定义。

一个有效的指令由一个或多个指令后跟一个值组成，每个指令用分号分隔。

您问题中的问题可能如下所示。
注意指令default-src及其值'unsafe-inline'。

<add name="Content-Security-Policy" value="default-src 'unsafe-inline'" />

有关指令和值的概述，请参阅此参考。