为什么web.config文件为CSP中的不安全内联引发无法识别的错误

Question

我尝试在asp.net web表单项目的web.config文件中应用csp。然而，我得到了无法识别的不安全内联错误。

<system.webServer>
<httpProtocol>
<customHeaders>
<add name="Content-Security-Policy" value=" 'unsafe-inline'" />.

我尝试在值中使用默认的src、safe、unsafe eval。他们都抛出了无法识别的错误。

你能给我提供任何资源来解决这个问题吗？

Answer 1

您会看到此错误，因为在没有指令的情况下指定'unsafe-inline'不是有效的内容安全策略定义。

一个有效的指令由一个或多个后面跟一个值的指令组成，每个指令用分号分隔。

你的问题可能如下所示
请注意指令default-src及其值'unsafe-inline'。

<add name="Content-Security-Policy" value="default-src 'unsafe-inline'" />

有关指令和值的概述，请参阅本参考资料。