未确认Nginx content-security-policy

Question

我已经配置了一个Nginx WordPress站点和一些代理重定向。我已经尝试将CSP头添加到我的nginx.conf、我的WordPress站点/代理重定向站点文件以及这两个文件中。出于测试目的，我将其设置为以下值(其中example.com是我的域)：

add_header Content-Security-Policy "default-src 'unsafe-inline' 'unsafe-eval' 'self' https://example.com;
                                    script-src 'unsafe-inline' 'unsafe-eval' 'self' https://example.com 'unsafe-inline' 'unsafe-eval' https://*.wp.com  https://ssl.google-analytics.com https:/$
                                    img-src 'unsafe-inline' 'unsafe-eval' 'self' https://example.com 'unsafe-inline' 'unsafe-eval' https://example.com https://ssl.google-analytics.c$
                                    style-src 'unsafe-inline' 'unsafe-eval' 'self' https://example.com 'unsafe-inline' 'unsafe-eval' https://example.com https://fonts.googleapis.com$
                                    font-src 'unsafe-inline' 'unsafe-eval' 'self' https://example.com 'unsafe-inline' 'unsafe-eval' https://example.com https://blog.hellodadiam.worl$
                                    frame-src 'unsafe-inline' 'unsafe-eval' 'self' https://example.com 'unsafe-inline' 'unsafe-eval' https://example.com https://assets.zendesk.com h$
                                    object-src 'unsafe-inline' 'unsafe-eval' 'self' https://example.com 'unsafe-inline' https://example.com;"
                                    always;

当我查看我的浏览器控制台时，我仍然得到这个CSP：

Content-Security-Policy: default-src 'none'; frame-ancestors 'none'; script-src 'self'; img-src 'self'; style-src 'self'; base-uri 'self'; form-action 'self';

奇怪的是，这似乎不会影响Firefox，即使它获得与其他浏览器相同的头文件。

对于代理，当我直接连接到它们时，它们工作得很好，所以它一定是Nginx的东西。

我是不是遗漏了什么，或者我配置错了什么？

Answer 1

我意识到我只是有点惊慌。我再次查看了Nginx配置，发现了Certbot自动添加的一个选项文件。里面有我要找的被锁住的CSP。我只是注释掉了这行代码，一切都很正常。

Certbot在站点配置文件中添加了以下行：

include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot 

在该文件中是我在浏览器上看到的CSP：

add_header Content-Security-Policy "default-src 'none'; frame-ancestors 'none'; script-src 'self'; img-src 'self'; style-src 'self'; base-uri 'self'; form-action 'self';";