기본 CSP 설정에는 설정되어야 할 일부 항목이 누락되어 있습니다. default-src는 “self”, 해당 URL, 그리고 설정된 경우 CDN을 포함해야 합니다. 스크립트 관련 항목은 그렇게 처리되고 있지만, default-src가 설정되지 않은 상태에서 다른 CSP 항목만 설정되어 있으면, 혼란으로 인해 일부 경우 CDN 등과의 연결 시 오류가 발생합니다.
이 문제는 테스트 인스턴스에서 설정을 구성하고, 현재 MinIO 객체 저장소 및 StackPath의 CDN 시스템을 사용하는 Discourse 인스턴스를 디버깅하는 과정에서 발견되었습니다.
이 설정을 변경할 방법이 없는 것 같으므로, 특정 default-src 항목으로 CSP를 구성하기 위한 새로운 설정 항목이 필요할 수 있습니다. 그렇지 않으면 CSP는 예상대로 정상 작동합니다.
(이 문제는 Chrome에서 발생하며, Firefox에서는 일부 경우에 발생하지만, 대부분 Chrome에서 나타납니다)