“没有找到Content-Security-Policy元标记。” 我的phonegap应用程序中出现错误

在系统中更新Cordova 5.0之后，我创建了新的应用程序。那个时候，当我在设备上测试应用程序时，控制台日志中出现错误：

No Content-Security-Policy meta tag found.
Please add one when using the Cordova-plugin-whitelist plugin.: 23.

我在头部添加meta

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src: 'self' 'unsafe-inline' 'unsafe-eval'>

但是同样，在应用程序中，我使用应用程序内浏览器插件和其他7个网站链接，也遇到了同样的错误。

添加cordova-plugin-whitelist后，如果要保持特定性，则必须告诉您的应用程序允许访问所有网页链接或特定链接。

您可以将其简单地添加到config.xml中，该文件可以在应用程序的根目录中找到：

在文档中推荐：

<allow-navigation href="http://example.com/*" />

要么：

<allow-navigation href="http://*/*" />

从插件的文档中：

导航白名单

控制WebView本身可以导航到的URL。仅适用于顶层导航。

怪癖：在Android上，它也适用于非HTTP方案的iframe。

默认情况下，仅允许导航到file：// URL。要允许其他URL，必须将标签添加到config.xml中：

<!-- Allow links to example.com -->
<allow-navigation href="http://example.com/*" />

<!-- Wildcards are allowed for the protocol, as a prefix
     to the host, or as a suffix to the path -->
<allow-navigation href="*://*.example.com/*" />

<!-- A wildcard can be used to whitelist the entire network,
     over HTTP and HTTPS.
     *NOT RECOMMENDED* -->
<allow-navigation href="*" />

<!-- The above is equivalent to these three declarations -->
<allow-navigation href="http://*/*" />
<allow-navigation href="https://*/*" />
<allow-navigation href="data:*" />

您必须在应用程序的头部添加CSP元标记 index.html

根据https://github.com/apache/cordova-plugin-whitelist#content-security-policy

内容安全政策

控制允许发出哪些网络请求（图像，XHR等）（直接通过webview）。

在Android和iOS上，网络请求白名单（请参见上文）无法过滤所有类型的请求（例如<video>，未阻止＆WebSockets）。因此，除了白名单之外，您还应该在所有页面上使用 内容安全策略 <meta>标签。

在Android上，系统Webview中对CSP的支持始于KitKat（但使用Crosswalk WebView的所有版本均可用）。

这是您的.html页面的一些CSP声明示例：

<!-- Good default declaration:
    * gap: is required only on iOS (when using UIWebView) and is needed for JS->native communication
    * https://ssl.gstatic.com is required only on Android and is needed for TalkBack to function properly
    * Disables use of eval() and inline scripts in order to mitigate risk of XSS vulnerabilities. To change this:
        * Enable inline JS: add 'unsafe-inline' to default-src
        * Enable eval(): add 'unsafe-eval' to default-src
-->
<meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com; style-src 'self' 'unsafe-inline'; media-src *">

<!-- Allow requests to foo.com -->
<meta http-equiv="Content-Security-Policy" content="default-src 'self' foo.com">

<!-- Enable all requests, inline styles, and eval() -->
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">

<!-- Allow XHRs via https only -->
<meta http-equiv="Content-Security-Policy" content="default-src 'self' https:">

<!-- Allow iframe to https://cordova.apache.org/ -->
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; frame-src 'self' https://cordova.apache.org">

您的元标记中有错误。

您的：

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src: 'self' 'unsafe-inline' 'unsafe-eval'>

已更正：

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'"/>

注意“ script-src”之后的冒号，以及meta标记的双引号结尾。

对我来说，重新安装白名单插件就足够了：

cordova plugin remove cordova-plugin-whitelist

然后

cordova plugin add cordova-plugin-whitelist

似乎从先前版本的Cordova更新失败。

对我来说，问题是我使用的是科尔多瓦android和ios平台的过时版本。因此，升级到android@5.1.1和ios@4.0.1可以解决该问题。

您可以升级到以下特定版本：

cordova platforms rm android
cordova platforms add android@5.1.1
cordova platforms rm ios
cordova platforms add ios@4.0.1

关于连接还有另一个问题。某些android版本可以连接，但有些则不能。所以还有另一种解决方案

在AndroidManifest.xml中：

<application ... android:usesCleartextTraffic="true">
        ...
    </application>

只需添加'android：usesCleartextTraffic =“ true”'

问题终于解决了。