django-csp --为什么即使设置了nonce，我也会得到CSP违规错误？

Question

我在浏览器中发现错误，因为

拒绝执行内联脚本，因为它违反了以下内容安全策略指令：" script -src-elem 'self‘self’https://cdn.jsdelivr.net/"。“

我正在使用django-csp设置内容安全策略。在我的settings.py中，我包含了以下内容。

MIDDLEWARE = [
    # added middleware
    'csp.middleware.CSPMiddleware',
    ...
]

CSP_DEFAULT_SRC = ["'self'", ]
CSP_INCLUDE_NONCE_IN = ['script-src']

我把JavaScript写成-

<script nonce="{{ request.csp_nonce }}">
    do_something()
</script>

请帮我解决这个问题。

Answer 1

您只包含了script-src，而没有script-src-elem。

settings.py将是：

CSP_INCLUDE_NONCE_IN = [
    'script-src',
    'script-src-elem'
]