Weigerte sich, zu verbinden, [url], da Sie gegen die folgende Content-Security-Policy-Richtlinie

Ich bin der Autor eine Chrome-Erweiterung, die es ermöglicht, zu übersetzen, status-updates und Kommentare direkt auf Facebook: https://chrome.google.com/webstore/detail/facebook-translate/plofenifjagmdikfcobngnfmmnfmphin

Für einige Tage jetzt, mein Benutzer und ich bekommen eine Fehlermeldung in der Fehler-Konsole sagt:

Weigerte sich, eine Verbindung zu'https://api.microsofttranslator.com/V2/Http.svc/Translate?appId=&text=Chrome-Integration%3A+Google+bringt+Google+Now+auf+Desktop-PCs&to=en&contentType=text%2Fhtml', da Sie gegen die folgende Content-Security-Policy Richtlinie: "connect-src https://.facebook.com http://.facebook.com https://.fbcdn.net http://.fbcdn.net *.facebook.net .spotilocal.com: https://.akamaihd.net ws://.facebook.com:* http://*.akamaihd.net".

In meinem chrome-Erweiterung habe ich die content-security-policy wie folgt:

"content_security_policy": "script-src 'self' https://ssl.google-analytics.com; object-src 'self'"

Die URIs in der Fehler-Konsole, jedoch sind die FB-URIs nur so, dass ist der Grund, warum ich denke, Facebook hat die Aktualisierung Ihrer Website, um den Zugriff auf remote-URIs. Ich bin mir nicht sicher ob es ein Chrome-Problem, also sorry, wenn ich begann, das Thema auf die falsche stackoverflow-Netzwerk. 🙂

Kann das jemand bestätigen (und vielleicht zeigen Sie mir eine mögliche Lösung für) dieses Problem? Vielen Dank an alle!

InformationsquelleAutor oschloebe | 2012-12-09
  1. 10

    Erweiterungen sollte bypass eine Seite Content Security Policy bei der Ausführung von XMLHTTPRequest aus einem content-Skript. Sie sind zurzeit nicht, das ist ein bug. Ich habe eingereicht https://bugs.webkit.org/show_bug.cgi?id=104480, um einen Blick in die Festsetzung es.

    Sind Sie die Ausführung XHR aus deiner extension den Inhalt Skript, oder sind Sie Ausführung in den hintergrund der Seite? Letzteres sollte funktionieren jetzt.

    • Woah, danke Mike! Ich bin in der Tat der Ausführung der XHR-request von meiner extension den Inhalt Skript. Jetzt, da Sie es erwähnen... ich mache all das OAuth-Zeug mit der remote-API in ein hintergrund-script, und die Authentifizierung scheint zu gehen, so hast du Recht.
    • Der Fehler sagt, es ist behoben, aber ich sehe Sie immer noch. Wer sonst noch es auch sehen?
    • Es ist fixiert, aber noch nicht in einer stabilen Kanal. Wenn Sie sehen, dieses Verhalten in den Kanarischen, ich würde gerne einen bug-report. 🙂
    InformationsquelleAutor Mike West
  2. 0

    Die Fehlermeldung sagt Ihr versuchen, eine Verbindung zu 'https://api.microsofttranslator.com/domain, die nicht angegeben in connect-src der CSP-Richtlinie

    Es scheint, Sie haben aufgelistet 

    "connect-src 
            https://.facebook.com 
            http://.facebook.com 
            https://.fbcdn.net 
            http://.fbcdn.net *.facebook.net .spotilocal.com: 
            https://.akamaihd.net ws://.facebook.com:* 
            http://*.akamaihd.net".

    den oben aufgeführten domains für connect-src Politik, fügen Sie die neue domain microsofttranslator.com, wenn es gültig ist.

    Lassen Sie mich wissen, wenn Sie weitere Informationen benötigen.

    • Die Sache ist die, ich havn ' T aufgeführt, diese URIs irgendwo in meinem Chrome-Erweiterung manifest-Datei (siehe meinen ursprünglichen post). Das ist, warum ich denke, Facebook hat diese content-security-Richtlinien. Es ist eine neue HTML5-Technik, und ich denke, Facebook hat diese auf Ihrer Website zu beschränken, AJAX Anfragen zu remote URIs, und ich glaube nicht, dass ich in der Lage bin zu überschreiben, von meinem Google Chrome-Erweiterung...
    • Auf einem verwandten beachten Sie, dass das, was FB.com zurück in Ihrem Header: > X-WebKit-CSP:default-src ;script-src https://.facebook.com http://*.facebook.com https://*.fbcdn.net http://*.fbcdn.net .facebook.net *.google-analytics.com *.virtualearth.net *.google.com 127.0.0.1: .spotilocal.com: chrome-extension://lifbcibllhkdhoafpjfnlhfpfgnpldfl 'unsafe-inline' 'unsafe-eval' https://*.akamaihd.net http://*.akamaihd.net;style-src - * 'unsafe-inline';connect-src https://*.facebook.com http://*.facebook.com https://*.fbcdn.net http://*.fbcdn.net .facebook.net *.spotilocal.com: https://*.;
    • ich denke, dass mit dem Header ist es klar, die Verbindung ist nur möglich für https://*.facebook.com http://*.facebook.com https://*.fbcdn.net http://*.fbcdn.net .facebook.net *.spotilocal.com: etc Domänen, so dass https://api.microsofttranslator.com/ nicht in den zurückgegebenen header-Liste, es folgte ein Fehler. Verwenden Sie 'https://api.microsofttranslator.com/ für die übersetzung?
    • Yep, ich bin mit der remote-API im api.microsofttranslator.com fangen Sie den übersetzten string über AJAX. Bis vor ein paar Tagen, es war in Ordnung arbeiten, so dass ich denke, Facebook hat diese CSP-Direktiven nur in letzter Zeit. Gibt es eine Möglichkeit, die ich Kontaktieren kann FB zu zählen der api.microsofttranslator.com URI? Ansonsten meine Erweiterung ist gebrochen, gut, wie es stützt sich auf die Übersetzungs-API für meine Erweiterung zu arbeiten. Mist.
    • Ich bin nicht sicher, Kontaktieren, FB usw. und Sie reagiert sofort, kann man nicht machen, ein update für die Erweiterung mit zusätzlichen URI ' s unter Berechtigungen und CSP-Richtlinie manifestieren.json mit diesem fühle ich mich zumindest neue downloads reibungslos funktionieren.
    • Tja, schon versucht, aber die content_security_policy Richtlinie in das manifest.json-Datei gilt nur für meine Verlängerung, nicht auf die website der Erweiterung wird gespritzt. Meine Erweiterung nicht von "Übersetzen" links unter jedem status-update auf facebook.com beginnt die AJAX-Anfrage zu api.microsofttranslator.com durch klicken auf den link. Als die AJAX-Anfrage wird immer aufgerufen facebook.com ich sehe keine chance, um um FB ' s CSP Direktiven. Nicht einmal durch das hinzufügen der URIs, die in meinem extension-manifest-Datei...
    • Dann den code in background page - und pass-Inhalte über Nachricht, Mitteilung senden, Inhalte von (content -> background) für die übersetzung und die (background -> content) nach dem übersetzen können Sie überprüfen, THIS als Referenz, es ist der Weg, um diesen Inhalt Skript CSP gezähmt,lassen Sie mich wissen, wenn Sie weitere Informationen benötigen.

    InformationsquelleAutor Sudarshan
Schreibe einen Kommentar