Политика безопасности контента — child-src

У меня есть следующая проблема:

В моем магазине oxidя получаю следующую ошибку, когда пытаюсь сохранить в определенный момент:

Не удалось обработать неизвестную директиву «child-src».

Пробовал на другом сервере, все работает. Я только что получил заголовки (на неисправном сервере), чтобы взглянуть на CSP, и вот результат:

X-Content-Security-Policy: default-src 'self';    script-src 'self' 'unsafe-inline' 'unsafe-eval' *.nrw.de *.google.com *.twimg.com;    style-src 'self' 'unsafe-inline' *.nrw.de *.twitter.com;    font-src 'self' *.example.org;    img-src data: *.example.org;    child-src *.example.org *.nrw.de *.facebook.com *.facebook.de *.twitter.com *.google.com;    frame-src *.example.org *.nrw.de *.facebook.com *.facebook.de *.twitter.com *.google.com;    object-src 'none';    media-src *.example.org;

content-security-policy: default-src 'self';    script-src 'self' 'unsafe-inline' 'unsafe-eval' *.nrw.de *.google.com *.twimg.com;    style-src 'self' 'unsafe-inline' *.example.org *.twitter.com;    font-src *;    img-src data: *.example.org;    child-src *.example.org *.nrw.de *.facebook.com *.facebook.de *.twitter.com *.google.com;    frame-src *.example.org *.nrw.de *.facebook.com *.facebook.de *.twitter.com *.google.com;    object-src 'none';    media-src *.example.org;

Любые идеи? Нужна дополнительная информация?

заранее спасибо


person DasSaffe    schedule 26.11.2015    source источник
comment
вместо этого используйте frame-src   -  person user10089632    schedule 16.08.2017
comment
Mozilla говорит, что child-src устарел, и вместо него следует использовать frame-src (как сказал @user10089632)... но content-security-policy.com говорит прямо противоположное! Лично я доверяю тому, что говорит W3C: w3.org/TR/ CSP2/#directive-frame-src (похоже, Mozilla ошибается...)   -  person Doug McLean    schedule 26.04.2018


Ответы (1)


«child-src» — это новая директива, представленная в версии 2 Content-Security-Policy. См. спецификацию на странице http://www.w3.org/TR/CSP2/.

Большинство браузеров теперь поддерживают v1, но не все поддерживают v2. Подробнее о совместимости см. на этой странице http://caniuse.com/#feat=contentsecuritypolicy2.

Браузеры должны просто игнорировать любые директивы, которые они не поддерживают.

Вы говорите, что пробовали другой сервер и получили другие результаты. Вы использовали тот же браузер или другой? Скорее всего, это браузер, который имеет значение.

person Chris Denning    schedule 06.12.2015
comment
Проверено в том же браузере. - person DasSaffe; 07.12.2015