烧瓶应用程序中嵌入的 matplotlib 绘图的安全内容安全策略是什么？

Question

我制作了一个 Flask 应用程序，当我尝试确保其安全用于生产时，它不会显示由 matplotlib 生成的绘图。

为了部署此应用程序，我一直在设置安全标头。

当我设置时，

response.headers['Content-Security-Policy'] = "img-src 'self'"

，应用程序生成的绘图不显示。

允许 Flask 应用程序运行期间生成图像的内容安全策略是什么？

Answer 1

您应该检查浏览器中的控制台错误。一些可能的原因：

1. 图像不在 http(s) 方案中，您需要添加“data:”或“blob:”。
2. 图像是从不同的非标准端口提供的。
3. 有多个策略，内容需要通过所有策略。可能有一个默认策略，例如“default-src 'none'”，它会阻止所有内容（但如果只是图像消失，则这种情况不太可能发生。