在JSP/Spring中禁用内容安全策略及object标签拦截问题求助

首先，你遇到的问题大概率是服务器端发送的CSP响应头优先级高于你添加的meta标签——浏览器会优先遵守服务器返回的CSP规则，直接忽略页面内的meta标签，这就是你加了meta却没用的核心原因。下面是一步步的可行解决方案：

1. 先确认实际生效的CSP规则 #

打开浏览器开发者工具（按F12），切换到「Network」面板，刷新你的view.jsp页面，找到该请求的响应头，查看是否存在Content-Security-Policy字段。如果有，这个就是实际生效的规则，你的meta标签会被直接覆盖。

2. 修改服务器端的CSP配置（最可靠的方案） #

根据你的后端技术栈，调整服务器的CSP设置，添加对目标URL的object-src允许：

• 如果是Tomcat等Servlet容器：在web.xml中添加一个Filter来设置响应头：

  <filter>
    <filter-name>CspFilter</filter-name>
    <filter-class>com.yourpackage.CspFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>CspFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>
  

  然后编写对应的Filter类：

  public class CspFilter implements Filter {
      @Override
      public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
          HttpServletResponse httpResponse = (HttpServletResponse) response;
          // 这里可以根据需求添加其他CSP指令，比如default-src确保页面基础资源能加载
          httpResponse.setHeader("Content-Security-Policy", "object-src https://thisIsAnExample; default-src 'self';");
          chain.doFilter(request, response);
      }
  
      @Override
      public void init(FilterConfig filterConfig) throws ServletException {}
  
      @Override
      public void destroy() {}
  }
  

• 如果是Spring Boot：可以通过安全配置类设置全局CSP：

  @Configuration
  @EnableWebSecurity
  public class SecurityConfig {
      @Bean
      public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
          http
              .headers(headers -> headers
                  .contentSecurityPolicy(csp -> csp
                      .policyDirectives("object-src https://thisIsAnExample; default-src 'self';")
                  )
              );
          return http.build();
      }
  }
  

3. 修正meta标签语法（仅当服务器无CSP响应头时生效） #

如果你确认服务器没有返回CSP响应头，那之前的meta标签有个小语法错误：URL少了一个斜杠，且具体源不需要用单引号包裹。正确写法如下：

<meta http-equiv="Content-Security-Policy" content="object-src https://thisIsAnExample; default-src 'self';">

注意：如果页面还有其他资源（如脚本、样式），要确保default-src或对应指令（如script-src、style-src）允许这些资源加载，否则会触发其他CSP错误。

4. 移除无效的sandbox设置 #

你之前尝试的<meta http-equiv="Content-Security-Policy" content="sandbox">是给页面添加沙箱限制，会进一步缩小页面权限，和解决你的问题无关，建议直接移除。

最后提醒：测试时记得清空浏览器缓存，或者用隐私模式打开页面，避免旧的CSP规则被缓存影响。

内容的提问来源于stack exchange，提问作者Jannik