【Javascript】Content-Security-Policy upgrade-insecure-requests

最新推荐文章于 2023-10-22 11:02:36 发布

November's chopin

最新推荐文章于 2023-10-22 11:02:36 发布

阅读量4.3k

点赞数

分类专栏： Javascript 编程路上

本文链接：https://blog.csdn.net/ZopaulCode/article/details/103806053

版权

本文介绍了在HTTPS协议下，使用阿里云OSS直传图片时遇到的安全错误，并提出通过设置Content-Security-Policy的`upgrade-insecure-requests`策略来解决问题。提供 Tencent 和 Ruanyifeng 的相关参考资料作为解决方案的详细说明。

摘要由CSDN通过智能技术生成

业务场景

在 https 协议下使用阿里云的 OSS 直传功能时，会出现相关错误提示导致图片无法上传

解决方案

可以在客户端页面 head 元素中添加 CSP meta 标签来解决，可参考如下资料：
https://cloud.tencent.com/developer/section/1189878

代码示例

function set_content_security_policy() {
   
    if (window.location.protocol == 'http:') return;

    var metas = document.getElementsByTagName("meta");
    var has_set = false

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

November's chopin

关注关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

专栏目录

详解HTTP Upgrade-Insecure-Requests

12-22

浏览器Upgrade-Insecure-Requests详解搭建HTTPS服务器时经常会遇到该请求头

Nginx配置Http响应头安全策略_nginx content-security-policy

最新发布

2301_77116622的博客

04-12

2046

参与评论您还未登录，请先登录后发表或查看评论

解决在浏览器中https请求http资源而报警

YHJ

06-11

2361

错误信息： Mixed Content: The page at 'https://wshop.xxx.com/wxshop/' was loaded over HTTPS, but requested an insecure image 'http://wshop.xxx.com/wxshop//image/A3.jpg'. This content should also be served over HTTPS. 报错原因： HTTPS 是 HTTP over Secure Socket L

浏览器使用小记 – Content-Security-Policy

围炉夜话

04-05

2501

个人博客最近重度使用网关 Kong，对接了一堆难搞的存量系统，遇到很多问题，先扔一个：当 Kong 转发请求后，第三方的响应内容里拼接了完整的资源请求地址，但它看到的只是 Kong 剥掉 https 壳以后的 http 请求，所以拼接出来的地址是 http://…. ，到了浏览器端，根据该地址发起 http 请求时，就会被浏览器 block 掉，开 debug 可以看到提示 csp 或者 mixed。在有多个组成环节的情况下，一个问题通常就会有多种解法（甩锅应该更形象）。就目前这个问题，淡化 PaaS/

nginx CA证书配置HTTPS

qq_40095973的博客

03-29

968

server { listen 443; server_name eee.top; ssl on; root /data/webroot/test; index index.html index.htm; ssl_certificate cert/2.pem; ssl_certificate_key cert/244.key; ssl_sess...

webappsec-upgrade-insecure-requests:WebAppSec升级不安全请求

05-05

从压缩包子文件的文件名称"webappsec-upgrade-insecure-requests-main"来看，这可能是项目的主要源代码或配置文件目录，可能包含了实现或支持"webappsec-upgrade-insecure-requests"规范的相关代码、文档或示例。...

解决python -m pip install --upgrade pip 升级不成功问题

09-17

然而，在某些情况下，当我们尝试使用`python -m pip install --upgrade pip`命令来更新`pip`时，可能会遇到升级失败的问题。本文将详细介绍如何解决这一常见问题，并提供一种可行的解决方案。 #### 问题现象当你...

ST-Link Upgrade Firmware V2.J30.S7

04-21

ST-Link Upgrade Firmware V2.J30.S7 是STMicroelectronics（意法半导体）为ST-LINK系列编程器固件提供的一个更新版本。ST-LINK是STM8和STM32微控制器开发板上的一个标准调试和编程接口，它使得开发者能够方便地对...

ST-Link V2 Upgrade.rar

07-10

用于通过USB端口升级ST-LINK、ST-LINK/V2和ST-LINK/V2-1板的固件。解压->打开文件夹->打开Windows文件夹->双击运行ST-LinkUpgrade文件。更新为STM32+STM8 Debugger V2.J33.S7。

让浏览器不再显示 https 页面中的 http 请求警报

Samuel_gan的博客

11-09

1245

让浏览器不再显示 https 页面中的 http 请求警报作者: 小胡子哥 2015-08-21 11:08:00 分类: 前端杂烩,网络交互,网络安全标签: CSP, cnblogs 评论数: 暂无评论本文为归档内容,原始地址在博客园. HTTPS 是 HTTP over Secure Socket Layer，以安全为目标的 HTTP 通道，所以在 HTTPS

热门推荐

m0_46803792的博客

02-14

1万+

js http请求_浏览器 Upgrade-Insecure-Requests:1 请求头的作用

weixin_39587822的博客

11-21

1065

今天在调试网站时，发现 html 请求头中有个 Upgrade-Insecure-Requests:1 参数，查了一下相关的资料，感觉挺有意思，记录一下。html Upgrade-Insecure-Requests:1 请求头HTTP Upgrade-Insecure-Requests 请求头向服务器发送一个客户端对HTTPS加密和认证响应良好，并且可以成功处理的信号，可以请求所属网站所有的HTT...

Nginx配置Http响应头安全策略

RisunJan的博客

10-22

1万+

1. 防止跨站脚本攻击（XSS）：通过设置`CSP(Content-Security-Policy)`，可以限制浏览器只加载和执行来自特定来源的脚本，从而防止恶意脚本注入和执行。 2. 防止点击劫持攻击：通过设置`X-Frame-Options`响应头，可以防止网页被嵌入到其他网站的`iframe`中，避免用户在不知情的情况下触发恶意代码。 3. 提高网站安全性：通过设置`STS(Strict-Transport-Security)`响应头，强制浏览器使用`HTTPS协议`与服务器通信，从而防止信息在传输过

Web安全之Content Security Policy(CSP 内容安全策略)详解

路多辛的所思所想

04-12

6706

Content-Security-Policy值由一个或多个指令组成，多个指令用分号分隔。script-src：外部脚本style-src：样式文件img-src：图片文件media-src：媒体文件（音频和视频）font-src：字体文件object-src：插件（比如 Flash）child-src：框架frame-ancestors：嵌入的外部资源（比如、、和）

Content-Security-Policy

03-08

2282

【网络安全】Content Security Policy (CSP) 介绍

qq_43842093的博客

06-03

2220

内容安全策略 (CSP) 是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件，这些攻击都是主要的手段。

add_header Content-Security-Policy upgrade-insecure-requests;

08-09

引用和中提到的`add_header Content-Security-Policy "upgrade-insecure-requests;connect-src *";`是对Content-Security-Policy（CSP）头的配置。通过将`upgrade-insecure-requests`指令添加到CSP头中，可以告诉浏览器在加载不安全资源时自动升级为HTTPS协议。这个指令的作用是提高网站的安全性，防止不安全的资源加载。需要注意的是，`upgrade-insecure-requests`只是CSP头的一部分，还可以配置其他指令来进一步加强网站的安全性。在中还提到了其他一些常用的CSP指令，如`X-XSS-Protection`和`X-Content-Type-Options`，它们可以用来防止跨站脚本攻击和MIME类型欺骗等安全威胁。总的来说，`add_header Content-Security-Policy "upgrade-insecure-requests;connect-src *";`是一个常见的配置选项，用于指定网站的CSP头，以提高网站的安全性。