html 前端添加白名单 Content-Security-Policy 最全配置腾讯云点播VOD Content-Security-Policy 配置

HarryWord

于 2021-09-16 14:12:58 发布

阅读量2.2k

点赞数

CC 4.0 BY-SA版权

分类专栏：页面安全文章标签： html

本文链接：https://blog.csdn.net/Harryword/article/details/120327558

本文介绍了在HTML前端设置Content-Security-Policy的重要性，旨在防止后端资源被篡改导致的安全问题。特别强调了在腾讯云点播VOD配置中，必须将'pingtas.qq.com'加入白名单，否则会导致视频播放异常。同时推荐了阮一峰的CSP介绍和MDN的相关文档作为参考资料。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前一段时间再开发项目中遇到一个坑爹坑到家的配置；

就连Mozilla 官方都没有详细解说

前端页面安全加资源白名单防止后端接口资源图片等媒体资源被篡改导致的安全问题

<metahttp-equiv="Content-Security-Policy"

content="

img-src 'self' https://pingtas.qq.com https://XXXX.myqcloud.com https://XXX.myqcloud.com data:;

script-src 'unsafe-inline' https://XXX.myqcloud.com https://pingjs.qq.com https://XXXXXXX.com XXXXXXXXX.com;

media-src 'self' https://XXX.myqcloud.com XXXXXXX.com https://playvideo.qcloud.com https://XXXXXXX.com blob:;

worker-src 'self' https://XXX.myqcloud.com XXXXXXX.com blob:;

object-src 'self' ">

腾讯云点播VOD Content-Security-Policy 配置就是中间的几个域名其中

重点突出

pingtas.qq.com 一定要加到白名单中否则无法正常运行和视频播放

阮一峰的关于csp 的介绍