AppScan Missing or insecure "Script-Src" or "Default-src" policy in "Content-Security-Policy" header

問題

系統透過 AppScan 掃過後，其中有 Missing or insecure "Script-Src" or "Default-src" policy in "Content-Security-Policy" header 的 Issue。
但系統中的 Content-Security-Policy Header 都已設定 self 了，
怎麼還會有那個 Issue 呢?

解法

系統的 Content-Security-Policy Header 值如下，
default-src 'self'; script-src 'self'; img-src 'self'; style-src 'self';frame-src 'self'; font-src 'self';

Report 中的建議值為 none，
這樣加上去不就全不能用了嗎??

後來看到 Security: HCL / IBM AppScan: Missing or insecure Content-Security-Policy header ，
是先將預設成 none，再針對其他項目設定 self，
所以只要把原本的default-src 'self'; 改成 default-src 'none'; 就可以了。
最後的 CSP 值如下，
default-src 'none'; script-src 'self'; img-src 'self'; style-src 'self';frame-src 'self'; font-src 'self';

參考資源

Security: HCL / IBM AppScan: Missing or insecure Content-Security-Policy header