ブラウザはメタタグを使用していませんコンテンツセキュリティポリシー

Question

ロード時間を改善するためにいくつかのCDN経由でいくつかのCSSとスクリプトをロードしようとしていますが、コンテンツセキュリティポリシーの問題が発生していますが、別のポリシーは、それでも私の同じエラーを与えています。

は、現在、私のポリシーは、このようになります - 私はロードすることができるはず私はサイト自体とmaxcdnのための3つのURL EGから何かをロードすることを意味すべきである私の理解から

<meta http-equiv="Content-Security-Policy" content="default-src 'self' https://code.jquery.com/ https://cdnjs.cloudflare.com/ https://maxcdn.bootstrapcdn.com/"> 

https://maxcdn.bootstrapcdn.com/bootstrap/3.3.7/js/bootstrap.min.js

私は非常にシンプルで、使用されない方針を試しました

<meta http-equiv="Content-Security-Policy" content="default-src *"> 

しかし、それは何も変わりませんでした。 「デフォルト-srcの 『自己』」： -

私は取得していますエラーがあり、それは、次のコンテンツセキュリティポリシーの指示に違反しているため

は、スクリプト「https://maxcdn.bootstrapcdn.com/bootstrap/3.3.7/js/bootstrap.min.js」をロードすることを拒否しました。 'script-src'は明示的に設定されていないので、 'default-src'がフォールバックとして使用されることに注意してください。

スクリプトのは（私はこの作業を取得した後、私は秋の背中を行います）をロードしようとしている -

<script type="text/javascript" src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.7/js/bootstrap.min.js" 
     integrity="sha384-Tc5IQib027qvyjSMfHjOMaLkfuWVxZxUPnCJA7l2mCWNIpG9mGCD8wGNIcPD7Txa" 
     crossorigin="anonymous"></script> 

私はクローム（55.0.2883.87）とエッジでテストしました。

エラーメッセージから、自分のポリシーを使用していないが、ブラウザによって設定されたデフォルトのポリシーを使用しているかのようにしますか？

任意の助けもいただければ幸いです:)

Answer 1

スクリプトのロードは、私はあなたがあなたの質問に含まメタタグによって提供さCSPでそれをテストし、問題なく。

HTTPヘッダーを使用して競合するCSPを含めることで問題を再現できました。

実際のHTTPヘッダーはメタタグよりも優先されます。

ドキュメントではなくサーバーサイドコードまたはHTTPサーバーの設定を変更する必要があります。