Как исправить проблему?

Question

[evilelf]

Refused to connect to 'http://site.ru' because it violates the following Content Security Policy directive: "default-src 'self' data: gap: https://ssl.gstatic.com 'unsafe-eval'". Note that 'connect-src' was not explicitly set, so 'default-src' is used as a fallback.

При iframe и jquery ajax.

Comments

[Andrey Dyrkov]

Вы делаете ajax из iframe?

[evilelf]

Andrey Dyrkov: нет делал отдельно ajax и отдельно iframe. на сервере Access-Control-Allow-Origin: *

[Andrey Dyrkov]

evilelf: у вас проблема безопасности, скорее всего вы делаете кроссдоменные запрос, или используете протокол file://.

[evilelf]

Andrey Dyrkov: верно, делаю CORS)

Answer 1

[evilelf]

проблема решена

header("Access-Control-Allow-Origin: *");
header("Access-Control-Allow-Methods: POST, GET, OPTIONS, DELETE, PUT");
header("Access-Control-Max-Age: 0");
header("Content-Security-Policy: default-src *; connect-src *; script-src *; object-src *;");
header("X-Content-Security-Policy: default-src *; connect-src *; script-src *; object-src *;");
header("X-Webkit-CSP: default-src *; connect-src *; script-src 'unsafe-inline' 'unsafe-eval' *; object-src *;");

Comments

[Алексей]

Куда это нужно вводить?

[aminodovborisov]

Алексей, насколько я понимаю, это хедеры запроса. А куда именно их вводить — зависит от контекста.