CSP：为什么'none'和'unsafe-inline'被解释为主机名？

Question

我是CSP的新手，我正在尝试在Flask网站上使用Talisman。。。Adobe字体似乎对CSP持反对态度。也就是说，网站工作，加载Adobe字体，等等

但是，Web控制台显示以下消息：

Content Security Policy: Interpreting unsafe-inline as a hostname, not a keyword. If you intended this to be a keyword, use ‘unsafe-inline’ (wrapped in single quotes).
Content Security Policy: Interpreting none as a hostname, not a keyword. If you intended this to be a keyword, use ‘none’ (wrapped in single quotes).

我的CSP是这样的：

SELF = "'self'"
csp = {
'default-src': SELF,
'script-src': [
SELF,
'use.typekit.net',
'cdn.jsdelivr.net/npm/clipboard@2/dist/clipboard.min.js',
],
'style-src': [SELF, 'unsafe-inline', 'use.typekit.net'],
'font-src': [SELF, 'use.typekit.net'],
'img-src': [SELF, 'p.typekit.net'],
'object-src': 'none',
}
app = Flask(__name__)
talisman = Talisman(app, content_security_policy=csp)

正如我所说，它有效，但这些错误令人不安。我试过每一种单引号、双引号、无引号的组合。。。什么都不管用。如有任何帮助，我们将不胜感激！

Answer 1

项目主页上有一个例子：

csp = {
'default-src': [
''self'',
'*.trusted.com'
]
}

可以以相同的方式添加CCD_ 1。