CSP-Bericht meldet keine passiven gemischten Inhalte?

Question

Ich verwende die folgende Richtlinie. Es werden keine passiven gemischten Inhalte wie Bilder, die mit http geladen wurden, über eine Seite im iframe gemeldet.

default-src https:; report-uri <https reporting endpoint>; 

Offenbar Block-all-mixed-Content-Richtlinie funktioniert auch nicht: https://github.com/w3c/webappsec-csp/issues/26

Versucht eine detailliertere Politik wie in https://www.owasp.org/index.php/Content_Security_Policy_Cheat_Sheet#Mixed_Content_Policy mit img-src https: data: auch. Aber das funktioniert auch nicht.

Kann die CSP-Berichterstellung nicht für passive gemischte Inhalte verwendet werden?

Answer 1

CSP "tröpfelt" nicht auf Seiten, die in einem Iframe geladen sind, es gilt nur für die Ressource, mit der es geliefert wurde. Wenn Sie einen CSP für die Seite im Iframe deklarieren möchten, müssen Sie auch für diese Seite einen CSP-Header einfügen.