Estoy sirviendo una página HTML en mi servidor node.js con la función express.public().
y agregué esto en mi página html:
<script src="https://cdn.jsdelivr.net/npm/vue@2/dist/vue.js"></script>Y Chrome me dio una política de seguridad de contenido para mí.
Usé este middleware en mi Node index.js
app.use(morgan('tiny')); app.use(helmet()); app.use(cors()); app.use(express.json()); app.use(express.static("./public"));Los encabezados de mi aplicación:
Content-Security-Policy: default-src 'self';base-uri 'self';block-all-mixed-content;font-src 'self' https: data:;frame-ancestors 'self';img-src 'self' data:;object-src 'none';script-src 'self';script-src-attr 'none';style-src 'self' https: 'unsafe-inline';upgrade-insecure-requests¿Cómo puedo agregar este script sin ninguna política de seguridad?
RESUELTO
Elimino "Helmet" de mi proyecto. Helmet está bloqueando todos los cdn y scripts que no sean dominio absoluto.
La política de seguridad de contenido se establece en el archivo html que se sirve o por el software que sirve el html (p. ej., Nginx, Apache).
Por el momento tiene: default-src 'self', esto significa que le está diciendo al navegador que solo puede realizar solicitudes a su propio dominio.
Debe agregar https://cdn.jsdelivr.net/npm/vue@2/dist/vue.js a esta lista de dominios a los que puede acceder.
Eso sería algo como:
Content-Security-Policy: default-src 'self';script-src 'self' https://cdn.jsdelivr.net/npm/vue@2/dist/vue.js; base-uri 'self';block-all-mixed-content;font-src 'self' https: data:;frame-ancestors 'self';img-src 'self' data:;object-src 'none';script-src-attr 'none';style-src 'self' https: 'unsafe-inline';upgrade-insecure-requestsPor lo tanto, default-src: self establece el valor predeterminado para restringir las solicitudes solo a su propio dominio.
script-src 'self' https://cdn.jsdelivr.net/npm/vue@2/dist/vue.js anula esto y dice específicamente que las secuencias de comandos restringen la solicitud solo a su dominio y esa URL.
Esto tiene muchos detalles y ejemplos: https://content-security-policy.com
Además de lo que dijo silent-tiger, creo que primero debe averiguar qué middleware es responsable de agregar esta política de contenido. Haga esto deshabilitando todo el middleware (excepto express static) y luego agregue los otros middlewares uno por uno hasta que vea los encabezados de la Política de seguridad de contenido nuevamente.
Si encontró qué middleware es responsable, entonces sabe qué middleware debe configurar.