nginx设置了 add_header Content-Security-Policy default-src self但是没有生效

如果您在nginx配置文件中设置了add_header Content-Security-Policy "default-src 'self'"，但是没有生效，可能有以下几个原因：

1. 缓存问题：如果您的网站已经被缓存，可能需要清除浏览器缓存或使用无缓存模式来测试配置是否生效。
2. 响应头设置：确保在正确的位置设置了add_header指令。可以在http、server或location块中设置该指令，具体取决于您希望应用CSP的范围。
3. 网站使用了其他安全策略：检查网站是否使用了其他安全策略，例如X-Frame-Options或X-Content-Type-Options，这些策略可能与CSP冲突。确保这些策略没有被覆盖或禁用。
4. 代理服务器：如果您使用了反向代理服务器（如Nginx），请确保CSP头信息没有被代理服务器修改或覆盖。使用开发者工具检查实际响应头中的CSP设置是否正确。
5. 浏览器支持：某些旧版本的浏览器可能不支持CSP，或者支持的方式与您的配置不兼容。确保您使用的浏览器版本支持CSP，并检查浏览器控制台是否有关于CSP的错误消息。

如果上述解决方法都不起作用，您可以尝试检查Nginx的错误日志，查看是否有与CSP相关的错误或警告信息。另外，可以尝试将CSP配置更改为更具体的策略，例如指定允许加载的资源的域名或URL，以便更准确地控制内容安全策略