-1

SRI - Firebase 上的子资源完整性安全功能

  • 我想在 Firebase 上实现子资源完整性安全功能。
  • 我的推送通知是 OneSignal 网站的基本设置，由 CDN 提供服务，但现在我正在处理 CORS 问题。
  • 尝试通过 Access-Control-Allow-Origin 标头将 oneSignal CDN 列入白名单，但没有成功。

对此有何建议？非常感谢！

索引.html

    <!-- OneSignal -->
    <script src="https://cdn.onesignal.com/sdks/OneSignalSDK.js" integrity="sha256-t1LT+Y2Mggg3CziqvOSn//47ekhB3IWvczG5g5pZF5I= sha384-vVrIVOhTb6P+4WMvVY4OhcO9b04Pt1kfcrkiTi3q8b/MG7kRwiNSIuhmKBnlKA3W sha512-zI/26urvS8F5oBQj4MChQbf8jVDP06RucbNYHuTguAxo3h8PXgFlM175kxarwnM9y0wTVjGAXe5JWIHsRMK2kw==" crossorigin="anonymous" async></script>

firebase.json

  "headers": [
    {
      "source": "**",
      "headers": [
        {
          "key": "Access-Control-Allow-Origin",
          "value": "https://cdn.onesignal.com/"
        },
        {
          "key": "Vary",
          "value": "Origin"
        }
      ]
    }
 ]

注意：对于从嵌入它的文档以外的源提供的资源的子资源完整性验证，浏览器还使用跨源资源共享 (CORS) 检查资源，以确保为资源提供服务的源允许共享它与请求的来源。 子资源_完整性

4

1 回答 1

1

Have you tried setting your function to public? Don't know if that's actually what you're looking for though. https://cloud.google.com/functions/docs/securing/managing-access-iam#allowing_unauthenticated_function_invocation

于 2020-07-31T10:41:53.433 回答