t00ls APP不显示图片(实为后端问题)（已修复） - 论坛事务(Forum Affairs) - T00ls

fobugUID:12351潜水会员楼主五年陈老会员勋章

积分:70TCV:8TuBi:140坛龄:8年128天

0x00 问题

bug现象：帖子存在图片，但是APP中展示不出来，记得以前是可以的。

0x01 影响范围

Android、iOS客户端最新版均影响
Androd 源于https://www.t00ls.com/app/T00ls.apk 下载，版本1.16
IOS源于AppStore，版本3.0

0x02 如何复现

以此链接为例 https://www.t00ls.com/articles-71071.html
浏览器F12，切换到手机模式，即可复现。

0x03 分析

1）尝试不同Android手机安装，问题依旧
2）切换不同运营商网络问题依旧
3）IPv4/IPv6切换，t00ls仅支持IPv4，问题依旧。
4）尝试抓包，发现APP打开页面后，确实没有请求图片资源，猜测部分APP问题，而是后端问题。
5）浏览器F12，手机模式调试，发现移动端(APP+H5)时，图片资源

为

<noscript><img src="https://www.t00ls.com/attachments/month_2401/2401051711267401af0ba01c80.jpg" class="size-full visible animated" width="480px"/></noscript>

被

<noscript>

包裹，而PC端无此内容，删除此部分内容后，APP+h5浏览器即正常。

0x04 结论

删除多余的noscript标签即可解决。

评分记录

t00ls管理团队01TuBi +9：提出问题，给出解决方法，大赞！ ...

打赏/拍砖记录

xiaosha 2024-01-09 09:26:52 打赏 +1 TuBi：赞??，

fobugUID:12351潜水会员楼主五年陈老会员勋章

积分:70TCV:8TuBi:140坛龄:8年128天

2024-01-09

发现删除页面的Content-Security-Policy内容，也可正常显示。

页面引用了ajax.cloudflare.com 的资源，但是CSP没有添加这个域名，因此修改Content-Security-Policy的内容增加ajax.cloudflare.com域名，图片也可显示。

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; object-src 'none'; script-src 'self' 'unsafe-inline' 'unsafe-eval'  https://challenges.cloudflare.com; frame-src 'self' https://challenges.cloudflare.com; style-src 'self' 'unsafe-inline'; img-src 'self' https://challenges.cloudflare.com data: blob:;font-src 'self' data:;">

修改成

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; object-src 'none'; script-src 'self' 'unsafe-inline' 'unsafe-eval'  https://challenges.cloudflare.com https://ajax.cloudflare.com; frame-src 'self' https://challenges.cloudflare.com; style-src 'self' 'unsafe-inline'; img-src 'self' https://challenges.cloudflare.com data: blob:;font-src 'self' data:;">