CSP报告为啥没触发？我的report-uri配置有问题吗？
我在 React 项目里加了 Content-Security-Policy，想测试下 report-uri 能不能收到违规上报。本地 dev server 启动后故意引入了个 inline script，但控制台只报 CSP 错误，我的 report 接口根本没收到请求，是哪里配错了吗？
我用 helmet 在 Express 里设置了策略，前端代码类似这样：
function App() {
// 故意触发 CSP 违规
const runInlineScript = () => {
eval('console.log("blocked?")');
};
return (
<button onClick={runInlineScript}>
Test CSP Violation
</button>
);
}策略里明确写了 report-uri /csp-report，而且这个接口我也 mock 了，能正常响应。但就是没请求进来，是不是 eval 不算“可上报”的违规类型？还是说开发环境下 CSP 报告被浏览器屏蔽了？
- 2
回答
40浏览
React里用了report-to但CSP报告没收到怎么办？
在React项目里配置了CSP的report-to指令，但一直没收到违规报告，是不是哪里写错了？ 我按照文档设置了meta标签，还用.env文件存了端点： // index.js document.a...
- 1
回答
16浏览
CSP 的 report-to 在 React 中怎么配置才生效？
我在项目里加了 Content Security Policy，想用 report-to 收集违规报告，但浏览器控制台一直报错说找不到 report-to 端点，根本没发请求。我后端明明配好了 /cs...
- 1
回答
15浏览
CSP 的 report-to 指令怎么配置才能真正上报违规日志？
我在项目里加了 Content-Security-Policy，想用 report-to 把违规信息发到自己的接口，但试了好几次都没收到上报。是不是我配置错了？ 这是我的响应头设置： Content-...
- 2
回答
21浏览
CSP报告端点配置后收不到任何报告怎么办？
我在本地测试Content-Security-Policy时设置了report-uri，但控制台有违反记录却收不到报告，到底是哪里出问题了？ 按照教程配置了CSP头：Content-Security-...
- 2
回答
91浏览
CSP配置报错：Refused to execute inline script because it violates the following Content Security Policy directive
我在给项目添加CSP头时遇到了问题，页面一加载就报错：Refused to execute inline script because it violates the Content Security...
- 2
回答
37浏览
CSP策略配置后为什么还是被绕过执行了内联脚本？
在做渗透测试时，给网站加了CSP策略禁止内联脚本，但测试人员用base64编码的dataURI依然能执行恶意脚本，这是怎么回事？ 我的CSP配置是这样的：Content-Security-Policy...
- 1
回答
20浏览
CSP 设置了 block-all-mixed-content 为啥 HTTPS 页面还是加载了 HTTP 资源？
我最近在项目里加了 CSP 头，设置了 Content-Security-Policy: block-all-mixed-content，但奇怪的是，页面在 HTTPS 下居然还能加载一个 HTTP ...
- 2
回答
67浏览
为什么我的CSP头配置总是报错？路径和语法都没问题
我在给项目加CSP头的时候遇到奇怪的问题，明明按照文档写了meta标签，但浏览器还是提示违反CSP策略。检查过路径和语法都没问题，这是为什么啊？ 代码是这样写的，设置了script-src只允许sel...
- 2
回答
119浏览
设置了CSP后图片无法加载，却显示’strict-dynamic’相关错误？
我在给项目配置CSP时遇到了奇怪的问题。设置了后页面报错： <!DOCTYPE html> <html> <head> <meta http-equiv="C...
- 2
回答
48浏览
Security面板显示Mixed Content警告，但HTTPS配置没问题？
我在React项目里引用了HTTPS图片和CSS，但Chrome Security面板一直提示Mixed Content警告。明明检查过所有资源链接都是https://的，这是为什么？ import ...
report-to配合ReportingObserverAPI 才能在开发时收到报告。另外你用的是 eval 违规，不是 inline script 违规，但 eval 确实应该触发 report。核心问题还是 dev 环境——你可以临时把 CSP header 加到 nginx 或者用 ngrok 穿透到 HTTPS 测试。