コンテンツセキュリティポリシーのエラー

Question

私はセキュリティポリシーをコンテンツに新しいですし、Googleからのスタイルシートを参照するページに Google Fonts violates Content Security Policy のようなポリシーを適用しようとしています：https://fonts.googleapis.com/css?family=Raleway:300,400,700

私はに実行している問題があることですChromeで、開発者ツールコンソールはstyle-srcルールが設定されておらず、default-srcにデフォルト設定されていることを伝えます。 IEでは私はこれらの警告を得ていません。ここで

は、コンソールのエラーです：「デフォルト-srcの 『自己』」：それは、次のコンテンツセキュリティポリシーの指示に違反しているため

は、スタイルシート「https://fonts.googleapis.com/css?family=Raleway:300,400,700」をロードすることを拒否しました。 'style-src'は明示的に設定されていないので、 'default-src'がフォールバックとして使用されることに注意してください。ここで

はシオマネキと私のヘッダのキャプチャです： コンテンツセキュリティポリシー：デフォルト-srcの '自己' のhttps：;スクリプト-srcの '自己' 'ナンス-Ab4J0bSR7xiEFldCemz9' '安全ではない-EVAL';オブジェクト-SRC 'self'; style-src 'self' 'unsafe-inline' 'nonce-zGkHV0PmcLCJKhMH6H8V' https：; font-src 'self' https：data：

これはブラウザの問題ですか？

Answer 1

私は矛盾していたカスタムヘッダーに余分な宣言がありました。

<httpProtocol> 
    <customHeaders> 
    <add name="Content-Security-Policy" value="default-src 'self';" /> 
    </customHeaders> 
</httpProtocol> 

これを削除してクリアタグに戻った後、問題は解決しませんでした。