问题标签 [cross-origin-resource-policy]

请我需要帮助，我检查了所有谷歌并没有得到真正的答案来打开我的问题。我想用头盔来保护我的快递服务器。但是当我使用它时，我收到此错误：ERR_BLOCKED_BY_RESPONSE.NotSameOrigin 200 用于从我的数据库中加载我的图像。这是我的服务器快递：

我从我的数据库中获取我的图像，所以 localhost 中的 url 是：http://localhost:3000/image/<name_image>

当我不使用头盔时，一切正常。

请任何帮助

我正在学习网络安全的 COOP 和 COEP 功能。此处的规范https://html.spec.whatwg.org/multipage/origin.html#coep表示带有 unsafe-none 指令的 COEP 将允许获取跨域资源，因此它不会被 CORS 协议阻止。我编写了一个小示例 index.html 文件，它尝试从远程获取图像文件，但即使我将跨域嵌入策略响应标头设置为“不安全”，它也会被阻止。

我在某个地方有什么误解吗？我希望在 COEP unsafe-none 设置的提取操作中禁用 CORS 协议。

想象一个有两个文档的站点：index.html和test.jpg，都位于根目录。index.html有以下内容。

如果没有安全标头，这工作得很好。但是，使用这些标题index.html：

这个标题在test.jpg：

test.jpgChrome 98 将不再加载它。它net::ERR_BLOCKED_BY_RESPONSE.NotSameOrigin 200在控制台中报告。

添加以下标头index.html将导致图像也被 Firefox 97 阻止：

（我知道这是很多指令，但我试图将它们一分为二，但无法弄清楚。）

What is happening here? https://example.com and https://example.com/test.jpg are the same origin, aren't they? Explicitly navigating to https://example.com/index.html also blocks the loading of test.jpg. What is missing from my understanding of same-origin? Why is there a difference between Chrome and Firefox's handling? Why does adding CSP cause Firefox to start blocking the requests for test.jpg?

In case I missed something, here are the complete set of headers for each request (from cURL):

我的后端设置与 REST 控制器上的 CORS 存在很大问题。我尝试应用各种过滤器，但它们都不起作用。这是我当前的 CORS 过滤器实现

由于它不起作用，我还添加了 CORS 配置器

它也没有工作。我将 CORS 注释应用于每个控制器

仍然没有帮助。

这个问题困扰了我好几个星期，我不知道该怎么办了。我非常感谢这里的好建议。