为什么设置了CSP后图片和字体资源还是被阻止了？
我在开发博客项目时配置了CSP头，但图片和字体资源还是被浏览器拦截了。我明明设置了和，控制台报错显示：
Refused to load the image 'https://images.example.com/pic.jpg' because it violates the following Content Security Policy directive: "img-src https://fonts.example.com".
我的配置是这样写的：
Content-Security-Policy: default-src 'self'; img-src https://images.example.com; font-src https://fonts.example.com;
已经确认域名拼写正确，但为什么字体源会出现在图片的错误信息里？尝试过添加nonce和星号通配符都没用，求指点哪里配置错了
- 2
回答
58浏览
CSP报显示图片源被阻止但已配置’srcset’还是不行怎么办？
我在开发环境设置了CSP头，但控制台一直报标签的图片被阻止，明明已经在'srcset'里写了self和具体域名，怎么还是不行？ 配置是这样的：Content-Security-Policy: img-...
- 2
回答
39浏览
设置了font-src还是报字体加载被CSP阻止，哪里配置错了？
我在页面里用@font-face引入了自定义字体，同时设置了CSP头"font-src 'self';"。但控制台还是报错： Refused to load the font 'data:applic...
- 2
回答
29浏览
CSP设置后图片资源被阻止，如何排查？
最近给项目加CSP头时发现图片加载失败，控制台提示"Blocked ... source of 'http://...' isn't listed"。我试过在标签用nonce和在CSP头添加，但问题依...
- 2
回答
23浏览
CSP中的strict-dynamic有什么用？为什么我的动态脚本还是被阻止了？
我在给项目配置CSP时用了'strict-dynamic'，但页面加载时动态创建的script标签还是报blocked错误。比如这样： const script = document.createEl...
- 2
回答
92浏览
设置了CSP后图片无法加载，却显示’strict-dynamic’相关错误？
我在给项目配置CSP时遇到了奇怪的问题。设置了后页面报错： <!DOCTYPE html> <html> <head> <meta http-equiv="C...
- 2
回答
31浏览
设置了font-src为什么字体还是被阻止加载？
我在项目里用Google字体时遇到了CSP报错，明明在HTTP头里写了font-src fonts.gstatic.com，但控制台还是提示“Blocked loading font”... 这是我的...
- 2
回答
35浏览
为什么我的CSP头配置总是报错？路径和语法都没问题
我在给项目加CSP头的时候遇到奇怪的问题，明明按照文档写了meta标签，但浏览器还是提示违反CSP策略。检查过路径和语法都没问题，这是为什么啊？ 代码是这样写的，设置了script-src只允许sel...
- 1
回答
17浏览
为什么我的CSP策略阻止了eval函数，但移除unsafe-eval又报错？
我在开发动态表单组件时用到了eval执行表达式，CSP报错提示缺少unsafe-eval。尝试在header里加了script-src 'self' 'unsafe-eval'，但控制台还是显示： C...
- 2
回答
30浏览
CSP策略配置后为什么还是被绕过执行了内联脚本？
在做渗透测试时，给网站加了CSP策略禁止内联脚本，但测试人员用base64编码的dataURI依然能执行恶意脚本，这是怎么回事？ 我的CSP配置是这样的：Content-Security-Policy...
- 2
回答
20浏览
设置了font-src还是加载不了外部字体文件怎么办？
我在用CSP时设置了font-src 'self' fonts.example.com，但页面还是报错“The page’s settings blocked the loading of a res...
img-src https://images.example.com和font-src https://fonts.example.com没有问题，但default-src 'self'会影响其他未明确指定的资源类型。图片被拦截的原因是，虽然你设置了
img-src，但字体资源的加载规则继承了default-src 'self'，而字体域名https://fonts.example.com不在default-src的范围内。这导致字体加载失败，进一步影响了图片资源的解析。解决办法很简单，改一下就行：
这里加了
style-src是因为字体通常通过CSS加载，如果CSS本身被拦截，字体也加载不了。另外，确认一下页面上的图片和字体请求是否真的匹配了你设置的域名，有时候路径或者协议（http/https）不一致也会导致问题。最后提醒一句，调试CSP的时候打开浏览器的开发者工具看网络请求和控制台报错，能省不少时间。