javascript - 在我的服务器代码中使用“setHeader”设置内容安全策略失败？

Question

我正在尝试通过设置标头来设置服务器的“内容安全策略”，如下所示：

app.use((req,res,next)=>{
res.setHeader('Access-Control-Allow-Origin','*');
res.setHeader('Access-Control-Allow-Methods','POST,GET,DELETE,OPTIONS');
res.setHeader('Access-Control-Allow-Headers','Content-Type');
res.setHeader('Content-Security-Policy', "script-src 'self'");
return next();
})

因为它显示以下错误： 它违反了以下内容安全策略指令：“default-src 'none'”， 但它仍然显示此错误，并且 Content-Security-Policy 在之后仍然是 default-src 'none'使用 heroku heroku open部署它。

所以我的问题是：为什么这里没有更改内容安全策略？是否有另一种设置 CSP 的方法？

请解释清楚你的答案。

标签： javascriptnode.jsexpressheroku