"Kein Meta-Tag für Inhaltssicherheitsrichtlinien gefunden." Fehler in meiner Phonegap-Anwendung

Nach dem Update von Cordova 5.0 in meinem System erstelle ich neue Anwendungen. Wenn ich meine Anwendung zu diesem Zeitpunkt auf einem Gerät getestet habe, wird im Konsolenprotokoll eine Fehlermeldung angezeigt:

No Content-Security-Policy meta tag found.
Please add one when using the Cordova-plugin-whitelist plugin.: 23.

Ich füge Meta im Kopfbereich hinzu

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src: 'self' 'unsafe-inline' 'unsafe-eval'>

Aber auch hier habe ich den gleichen Fehler erhalten, in der Anwendung verwende ich das In-App-Browser-Plugin und 7 andere Website-Links.

Nach dem Hinzufügen der Cordova-Plugin-Whitelist müssen Sie Ihre Anwendung anweisen , den Zugriff auf alle Webseiten-Links oder bestimmten Links zuzulassen, wenn Sie diese spezifisch halten möchten.

Sie können dies einfach zu Ihrer config.xml hinzufügen , die sich im Stammverzeichnis Ihrer Anwendung befindet:

Empfohlen in der Dokumentation:

<allow-navigation href="http://example.com/*" />

oder:

<allow-navigation href="http://*/*" />

Aus der Dokumentation des Plugins:

Navigations-Whitelist

Steuert, zu welchen URLs das WebView selbst navigieren kann. Gilt nur für Navigationen der obersten Ebene.

Macken: Unter Android gilt dies auch für Iframes für Nicht-http-Schemata.

Standardmäßig sind Navigationen nur zu Datei: // URLs zulässig. Um andere URLs zuzulassen, müssen Sie Ihrer config.xml Tags hinzufügen:

<!-- Allow links to example.com -->
<allow-navigation href="http://example.com/*" />

<!-- Wildcards are allowed for the protocol, as a prefix
     to the host, or as a suffix to the path -->
<allow-navigation href="*://*.example.com/*" />

<!-- A wildcard can be used to whitelist the entire network,
     over HTTP and HTTPS.
     *NOT RECOMMENDED* -->
<allow-navigation href="*" />

<!-- The above is equivalent to these three declarations -->
<allow-navigation href="http://*/*" />
<allow-navigation href="https://*/*" />
<allow-navigation href="data:*" />

Sie müssen ein CSP-Meta-Tag im Kopfbereich Ihrer App hinzufügen index.html

Gemäß https://github.com/apache/cordova-plugin-whitelist#content-security-policy

Inhaltssicherheitsrichtlinie

Steuert, welche Netzwerkanforderungen (Bilder, XHRs usw.) gestellt werden dürfen (direkt über die Webansicht).

Unter Android und iOS kann die Whitelist für Netzwerkanforderungen (siehe oben) nicht alle Arten von Anforderungen filtern (z. B. <video>& WebSockets werden nicht blockiert). Daher sollten Sie zusätzlich zur Whitelist auf allen Ihren Seiten ein Tag für Inhaltssicherheitsrichtlinien <meta> verwenden.

Unter Android beginnt die Unterstützung für CSP in der System-Webansicht mit KitKat (ist jedoch in allen Versionen mit Crosswalk WebView verfügbar).

Hier einige Beispiele für CSP-Deklarationen für Ihre .htmlSeiten:

<!-- Good default declaration:
    * gap: is required only on iOS (when using UIWebView) and is needed for JS->native communication
    * https://ssl.gstatic.com is required only on Android and is needed for TalkBack to function properly
    * Disables use of eval() and inline scripts in order to mitigate risk of XSS vulnerabilities. To change this:
        * Enable inline JS: add 'unsafe-inline' to default-src
        * Enable eval(): add 'unsafe-eval' to default-src
-->
<meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com; style-src 'self' 'unsafe-inline'; media-src *">

<!-- Allow requests to foo.com -->
<meta http-equiv="Content-Security-Policy" content="default-src 'self' foo.com">

<!-- Enable all requests, inline styles, and eval() -->
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">

<!-- Allow XHRs via https only -->
<meta http-equiv="Content-Security-Policy" content="default-src 'self' https:">

<!-- Allow iframe to https://cordova.apache.org/ -->
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; frame-src 'self' https://cordova.apache.org">

Ihr Meta-Tag enthält Fehler.

Deine:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src: 'self' 'unsafe-inline' 'unsafe-eval'>

Korrigiert:

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'"/>

Beachten Sie den Doppelpunkt nach "script-src" und das doppelte Anführungszeichen des Meta-Tags.

Für mich war es genug, das Whitelist- Plugin neu zu installieren :

cordova plugin remove cordova-plugin-whitelist

und dann

cordova plugin add cordova-plugin-whitelist

Es sieht so aus, als ob die Aktualisierung von früheren Versionen von Cordova nicht erfolgreich war.

Für mich war das Problem , dass ich veraltete Versionen der cordova wurde mit Android und iOS - Plattformen. Ein Upgrade auf android@5.1.1 und ios@4.0.1 hat es also gelöst.

Sie können auf diese spezifischen Versionen aktualisieren:

cordova platforms rm android
cordova platforms add android@5.1.1
cordova platforms rm ios
cordova platforms add ios@4.0.1

Es gibt ein weiteres Problem mit der Verbindung. Einige Android-Versionen können eine Verbindung herstellen, andere nicht. Es gibt also eine andere Lösung

in AndroidManifest.xml:

<application ... android:usesCleartextTraffic="true">
        ...
    </application>

Fügen Sie einfach 'android: usedCleartextTraffic = "true" hinzu.'

und Problem endlich gelöst.