为 @google/model-viewer 设置 Content-Security-Policy 标头

Question

我想使用 @google/model-viewer 来显示 3D 模型，但我的 CSP 标头阻止了查看器创建的内联样式。有没有办法让查看器使用随机数或其他方式？

<script type="module" src="https://unpkg.com/@google/model-viewer/dist/model-viewer.min.js"></script>

style_src 'self' 'unsafe-inline'

解决了它，但我想避免它。

Answer 1

根据您收到的消息，您应该能够使用随机数或哈希值，而不是

'unsafe-inline'

。

如果您的设置中没有动态生成随机数的选项，那么哈希变体就是最佳选择。

通过从当前的嵌入 URL（基本上翻译为“给我最新版本”）切换到显式加载特定版本的 URL，您也不用担心对该脚本源的更改 - 这就是什么它是“版本化”for，因此使用它的开发人员可以依赖它保持不变。如果该脚本资源的提供者需要进行任何更新或更改，他们将发布新版本。