允許所有內容安全策略？

Question

是否可以將Content-Security-Policy配置爲不阻止任何內容？我正在運行一個計算機安全類，並且我們的網絡黑客攻擊項目正在遇到新版Chrome的問題，因爲沒有任何CSP頭，它會自動阻止某些XSS攻擊。

Answer 1

最好的辦法是不應用任何政策。

但是，爲了回答你的問題，一個「讓所有的政策」很可能是：

default-src * 'unsafe-inline' 'unsafe-eval' data: blob:; 

注：未經檢驗

Answer 2

它並不安全可言，但作爲盯着點真正讓所有的政策是：

default-src * 'unsafe-inline' 'unsafe-eval'; script-src * 'unsafe-inline' 'unsafe-eval'; connect-src * 'unsafe-inline'; img-src * data: blob: 'unsafe-inline'; frame-src *; style-src * 'unsafe-inline'; 

見：https://content-security-policy.com/和this SCP migration guide。