Tiêu đề chính sách bảo mật nội dung trong Play! Khung

Question

Tôi có câu hỏi về Chính sách bảo mật nội dung bằng cách sử dụng Play! khung (2.6).

Tôi đã thêm thư viện bên ngoài vào dự án để vẽ biểu đồ, tệp javascript nằm trong dự án và biểu đồ đang hiển thị tốt.

Sự cố tôi gặp phải là bảng điều khiển của tôi đang phát tán lỗi trái và phải. Đây là lỗi tôi tiếp tục nhận được:

Từ chối áp dụng kiểu nội tuyến vì nó vi phạm chỉ thị Chính sách bảo mật nội dung sau đây: "style-src 'self'". Hoặc là từ khóa 'không an toàn-inline', một mã băm ('sha256-GPjBVmsZjSEoackW5SF7HKgSHcUUBqf1/TJwOl3Co7Y =') hoặc một nonce ('nonce -...') là bắt buộc để bật thực thi nội dòng.

Trong khi tìm cách khắc phục sự cố này, tôi gặp phải các nội dung như bao gồm thẻ meta trong HTML, không có gì trong Play. Tôi cũng đã cố gắng để đưa ContentSecurityHeader trong application.conf như được giải thích ở đây: https://www.playframework.com/documentation/2.6.x/SecurityHeaders Điều đó cũng không hoạt động. Trong khi phát triển dự án của tôi, tôi cũng đã có lỗi xuất hiện liên quan đến mặc định-src 'tự', tôi đoán nó sẽ là cùng một loại sửa chữa và nó là cái gì để làm với cấu hình mà tôi không nhận được đúng.

Nếu có ai phải thực hiện loại cấu hình này trước khi tôi yêu một số gợi ý về cách định cấu hình ứng dụng của tôi đúng cách.

Cảm ơn trước!

Answer 1

thêm dòng này play.filters.disabled + = "play.filters.headers.SecurityHeadersFilter" để application.conf tập tin, đó là công trình đối với tôi

Answer 2

Để cho phép hình ảnh từ một cdn, sau đây làm việc cho tôi (play phiên bản 2,6)

play.filters.headers.contentSecurityPolicy = "default-src 'self'; img-src 'self' https://my.img.cdn.com" 

phong cách nội tuyến cho phép thuộc tính sau đây:

play.filters.headers.contentSecurityPolicy = "default-src 'self'; style-src 'self' 'unsafe-inline'" 

Tuy nhiên có một báo trước:

Lệnh cấm nội tuyến là giải pháp bảo mật lớn nhất CSP cung cấp và cấm kiểu nội tuyến tương tự như vậy làm cứng ứng dụng của bạn. HTML5 Rocks - Content Security Policy (2017-11-18)