今天做手机Apace Cordova遇到这样一个问题:
刚开始看了吓一跳,这是什么鬼,然后,百度了一下,发现是这个网页为了防止其他跨域脚本攻击造成的。
解决方案:就是把脚本放在外面即可。不要写在这个页面里。
原因详细解剖:
<meta http-equiv="content-security-policy" content="default-src 'self' data: gap: https://ssl.gstatic.com 'unsafe-eval'; style-src 'self' 'unsafe-inline'; media-src *">
页面这句代码造就了这个错误的产生。这句代码的用处就是跨域脚本攻击 XSS
跨域脚本攻击 XSS 是最常见、危害最大的网页安全漏洞,为了防止它们,要采取很多编程措施,非常麻烦。很多人提出,能不能根本上解决问题,浏览器自动禁止外部注入恶意脚本?这就是"网页安全政策"(Content Security Policy,缩写 CSP)的来历
CSP 的实质就是白名单制度,开发者明确告诉客户端,哪些外部资源可以加载和执行,等同于提供白名单。它的实现和执行全部由浏览器完成,开发者只需提供配置。CSP 大大增强了网页的安全性。攻击者即使发现了漏洞,也没法注入脚本,除非还控制了一台列入了白名单的可信主机
两种方法可以启用 CSP。一种是通过 HTTP 头信息的Content-Security-Policy的字段。
Content-Security-Policy: script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:
另一种是通过网页的<meta>标签
<meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:">
详细了解:https://www.cnblogs.com/alisecurity/p/5924023.html