Zawiesza połączenia z websocket po dodaniu polityki bezpieczeństwa treści w nginx

Ponieważ każde połączenie z websocket zaczyna się od zwykłego żądania http, należy dodać CSP dla https://your-websocket-server-domain:port

Na żądanie http otrzymasz odpowiedź z 101: swtiching protocols i wtedy połączenie będzie połączeniem WebSocket.

Należy pamiętać, że nie sądzę, że dyrektywa ws: lub wss: csp w ogóle wymagane.

Masz 3 problemy:

1. Błędy konsoli, które wykazały, że nie są związane z CSP. "403 Zabronione" oznacza, że nie masz dostępu do odpowiedniego adresu URL. "Opcje X-klatki ", aby "zablokować" oznacza, że próbujesz wdrożyć iframe, ale ta strona uniemożliwia osadzanie przez X-Frame-Options: "DENY" Nagłówek HTTP.

2. Nieprawidłowy format Nginx add_header. To powinno wyglądać tak (zwróć uwagę na cytaty - always słowo kluczowe powinno być czerpie z ustawień CSP):

   add_header Content-Security-Policy "default-src 'self'..." always;

3. Nieprawidłowy format hosta źródeł CSP. Host-źródła, takie jak .youtube.com nie może zawierać ołowiu . punkt:
   youtube.com pozwoli na pobieranie zasobów z http(s)://youtube.com i *.youtube.com pozwoli korzystać z zasobów z subdomen youtube.com.

W ten sposób poprawny syntaktycznie CSP powinien wyglądać w następujący sposób:

add_header Content-Security-Policy "\
default-src 'self' 'unsafe-inline' https://stackpath.bootstrapcdn.com\
https://fonts.googleapis.com infobip.com ws://infobip.com wss://infobip.com youtube.com\
https://cdn.jsdelivr.net http://www.w3.org;\
connect-src 'self' infobip.com wss://infobip.com ws://*.infobip.com\
wss://livechat-fr.infobip.com/chat/web/proxy/ https://doubleclick.net;\
img-src 'self' data: https://openstreetmap.org;\
" always;

Należy pamiętać, że:

• wss://livechat-fr.infobip.com/czat/web/proxy/492/hybzmnjl/websocket - nie podawaj gruby drogę-część CSP, bo on zmienia się za każdym razem.
• Schemat źródła, takie jak wss: obejmuje wszelkie hosta źródła z tym schematem (np. wss://site.com/websocket). Dlatego usunąłem źródła schematu i zostawił źródła hosta.
• Usunąłem kilka nieobsługiwane źródła, np. 'unsafe-inline' w connect-src.
• Nginx musi obsługiwać backslash \ jak podział wiersza, więc użyłem go, bo trudno utrzymać CSP w jednej linii. Sprawdź, czy twoja wersja Nginx tę funkcję.

Uwaga 2: Ta CSP może blokować niektóre źródła - wystarczy dodać je w odpowiednie dyrektywy.

Uwaga 3: należy Rozważyć możliwość przenoszenia źródeł z default-src dyrektywa dla script-src + style-src + font-src wytyczna. Bo teraz naprawdę pozwalasz 'unsafe-inline' w scrit-src w ten sposób twój CSP nie chroni przed XSS. W przyszłości również będzie trudno zarządzać CSP, ponieważ źródła mieszane w jednej dyrektywie.