Firefox 给出了一个不应该发生的 CSP 策略错误

Question

一个在侧边栏 html 文档中具有以下 csp 的 Firefox 插件：<meta http-equiv="Content-Security-Policy" content="style-src *;">

使用嵌入在该策略的同一 html 文档中的<style></style>给出此错误

错误：

内容安全策略：页面的设置阻止加载 内联资源("样式-src")。

我在"样式-src 'self';"或"默认源 *;"等，它仅在我不使用默认 src 或 style-src 时才有效

这不应该发生，所以如果我错过了什么，请告诉我

感谢您抽出宝贵时间

Answer 1

'self'和*只允许外部源(即<link href='https://example.com' rel='stylesheet'>)。
允许内联样式需要'unsafe-inline'或'nonce-value'令牌。例如：

<meta http-equiv="Content-Security-Policy" content="style-src 'nonce-abcFe45';">

在 HTML 中：

<style nonce="abcFe45">
...
</style>

或者<meta http-equiv="Content-Security-Policy" content="style-src 'unsafe-inline';">将允许任何内联<style></style>块和<tag style='color:red'>。