这是一个相对的 Chrome 扩展。我正在尝试使用 Google Chart API 的简单方法
我的 html 文档“popup.html”中有这段代码，它是在单击图标时加载的。
<!doctype html>
<html>
<head>
<script type="text/javascript" src="js/libs/jquery-1.8.0.min.js"></script>
<script type="text/javascript" src="js/popup.js"></script>
<script type="text/javascript" src="http://www.google.com/jsapi?key=xxxxxxxxxxx"></script>
[...]
</body>
</html>
我收到以下消息:
Refused to load the script 'http://www.google.com/jsapi?key=xxxxxxxxxxx' because it violates the following Content Security Policy directive: "script-src 'self' chrome-extension-resource:".
我知道这与权限有关，我尝试修改我的 list 文件但没有成功:
{
[...]
"manifest_version": 2,
"permissions": ["http://*.google.com/"],
"content_security_policy": "script-src 'self' http://www.google.com; object-src 'self'",
}
有什么想法吗？
最佳答案
在过去的 12 个小时里，我一直在努力解决这个问题，并最终让它发挥作用。为什么花了这么长时间？因为我多次被甩出赛道。首先，错误线索:
“让它成为 HTTPS”——没关系。我的 Chrome 扩展程序现在对不同的域进行常规 HTTP 调用并且工作正常。 (更新:再澄清一点。“让它成为 https”的神话源于人们在加载脚本时往往会遇到的类似问题。如果您需要引入外部 .js 文件，那么是的，您需要修改您的 content_security_policy 并包含正确的主机名，它似乎只接受 https。请记住，这与为 REST 服务之类的东西点击外部主机名不同。正如我之前所说，这不需要修改 content_security_policy，也不需要 https。 )
“在您的 JQuery AJAX 调用中使用 JSONP”——这可能是解决普通网页中跨域 AJAX 问题的一种方法，但由于内置的内容安全性，在 chrome 扩展中不是必需的政策。此外，实现 JSONP 听起来像 PITA，因为它需要服务器端更改来处理回调参数(或其他东西，我仍然不确定)。无论如何，都没有必要。
“扰乱您的扩展中的内容安全策略 (CSP) 字符串”- 在 list 版本 2 下，默认字符串工作正常:“script-src 'self'；object-src 'self'”。您甚至不必明确指定它。您需要的是将您尝试从扩展中访问的域作为“权限”值包括在内。
解决方法:
从您的扩展程序中删除所有内联 javascript。将其放入单独的 .js 文件中。我怀疑对于大多数带有适当数量的 javascript 的 html 文件，这个过程会很糟糕。对我来说幸运的是，我所拥有的只是一个 body onload，我可以将其作为 window.addlistener onload 事件移动到一个单独的 js 文件中。
您真正需要阅读以解决此问题的页面位于:https://developer.chrome.com/apps/contentSecurityPolicy
关于javascript - 内容安全策略 : cannot load Google API in Chrome extension，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/12129077/