content-security-policy 相关问题

内容安全策略（CSP）旨在通过为开发人员提供对允许加载页面的资源以及允许执行的脚本的细粒度控制来降低跨站点脚本攻击的风险。

内容安全策略：页面的设置阻止加载http://localhost:3000/favicon.ico（“default-src”）处的资源

当我尝试打开另一个应用程序的路线时，我一直遇到此错误：内容安全策略：页面的设置阻止加载 http://localhost:3000/favicon.ico 上的资源（“默认...

express content-security-policy cross-origin-resource-policy

回答 2 投票 0

如何在 Ruby on Rails 中使用不安全哈希内容安全策略

我有一个 Ruby on Rails 应用程序（rails v 6.1.7.9），它允许用户生成内容，因此我想使用内容安全策略。我有一个自定义 javascript 调用，我想在事件上触发

ruby-on-rails content-security-policy

回答 1 投票 0

使用“strict-dynamic”和“nonces”阻止外部脚本注入的资源

我正在尝试为客户实施 CSP，但遇到了一些困难：我有一个用于谷歌翻译的脚本被拉入 我正在尝试为客户实施 CSP，但遇到了一些困难： <ol> <li>我有一个用于谷歌翻译的脚本被拉入</li> </ol> <pre><code><script type="text/javascript" src="//translate.google.com/translate_a/element.js?cb=googleTranslateElementInit" nonce="0190369b-35c3-4474-b31e-46e09bf5552c"></script> </code></pre> <ol start="2"> <li>我有一个 CSP，其中包括</li> </ol> <ul> <li>随机数值</li> <li>严格动态</li> <li>一些哈希值（这些是经过 sha256 处理的内联样式）</li> </ul> <pre><code>default-src * data: ; script-src 'self' 'strict-dynamic' 'nonce-bc138385-6e60-4e78-8e12-c516b9835ccf' ; style-src 'self' 'unsafe-hashes' https://fonts.googleapis.com 'nonce-bc138385-6e60-4e78-8e12-c516b9835ccf' 'sha256-<someHash>' ; </code></pre> <ol start="3"> <li>控制台错误：</li> </ol> <pre><code>Refused to load the stylesheet 'https://www.gstatic.com/_/translate_http/_/ss/k=translate_http.tr.26tY-h6gH9w.L.W.O/am=DAY/d=0/rs=AN8SPfrCcgxoBri2FVMQptvuOBiOsolgBw/m=el_main_css' because it violates the following Content Security Policy directive: "style-src 'self' 'unsafe-hashes' 'nonce-bc138385-6e60-4e78-8e12-c516b9835ccf' 'sha256-...' ". Note that 'style-src-elem' was not explicitly set, so 'style-src' is used as a fallback. </code></pre> <ol start="4"> <li>注入内联样式的控制台错误</li> </ol> <pre><code>Refused to apply inline style because it violates the following Content Security Policy directive: "style-src 'self' 'unsafe-hashes' 'nonce-bc138385-6e60-4e78-8e12-c516b9835ccf' 'sha256-...'". Either the 'unsafe-inline' keyword, a hash ('sha256-JIj2SxE0HcsALEzIeYfM7TQkcz/B/Cfoc4ARmAXL5Ck='), or a nonce ('nonce-...') is required to enable inline execution. </code></pre> 我尝试获取原始脚本的完整性哈希，但谷歌没有提供。我尝试生成哈希，但请求未启用 cors（在谷歌方面），因此它无法使用完整性属性。 我已尝试将域 (gstatic.com) 添加到我的白名单中，但由于我使用的是严格动态，所以无法这样做。 我的理解是，鉴于我的 src="translate.google.com" 脚本在我的 CSP 中有一个随机数，它应该能够加载资源并注入它们。 还有 <pre><code><link></code></pre> 标签存在问题，例如 <pre><code><link rel="stylesheet" href="https://use.typekit.net/grj3fwu.css"> </code></pre> <ol> <li>我的 <pre><code>style-src</code></pre> 指令中存在这个元素的随机数。</li> <li>它通过 <pre><code>@import</code></pre> 引入多种不同的样式，例如“https://p.typekit.net/p.css”</li> <li>它有一个不同的 URL，所以即使我将原始的 <pre><code>use.typekit.net</code></pre> 放入我的允许列表中，这个辅助 @import 也会失败。我可以将 <pre><code>p.typekit.net</code></pre> 添加到我的白名单中，但此域名发生变化，我无法控制它。</li> </ol> 是否有类似于 <pre><code>strict-dynamic</code></pre> 的 <pre><code><link></code></pre> 元素/<pre><code>style-src</code></pre> 指令？ </question> <answer tick="false" vote="0"> 尽管 CSP 中的 script 和 style 有很多相似之处，但 strict-dynamic 仅适用于脚本。脚本的潜在威胁比样式的威胁大得多，<a href="https://scotthelme.co.uk/can-you-get-pwned-with-css/" rel="nofollow noreferrer">https://scotthelme.co.uk/can-you-get-pwned-with-css/</a>。 由于您已经使用严格动态和随机数彻底锁定了脚本，因此您可以对样式更加宽松，特别是如果您锁定 CSP 的其余部分以防止渗透。在这种情况下，将 *.typekit.net 添加到 style-src 在大多数威胁模型中可能是可以接受的。 如果注入的内联样式数量较少，请添加控制台错误中建议的哈希值。 如果您无法获取外部文件的哈希值，请尝试下载它并获取校验和。如果它不是版本化脚本并且可能会更改，请改为执行基于主机的白名单。 </answer> </body></html>

content-security-policy

回答 0 投票 0

删除或替换 .NET 9 中框架自动生成的内容安全策略 (CSP) 框架祖先“self”指令

我正在使用 .NET 9 Blazor 创建 iFrame 小部件。但是，在 iFrame 中显示它失败并出现以下错误：拒绝框架，因为祖先违反了以下内容安全...

.net content-security-policy .net-8.0 .net-9.0

回答 1 投票 0

为框架祖先生成重复的内容安全策略（Blazor、IIS 和 Chrome）

我已将 Web 应用程序 (sub.domain.com) 发布到 Internet 信息服务 (IIS) 虚拟服务器，现在希望将其显示在 www.otherdomain.com 上的 iFrame 中。已发布的 web.config 文件...

google-chrome iis iframe blazor content-security-policy

回答 2 投票 0

有关内容安全策略的查询

我有一个信任脚本要嵌入到我的项目中。即使添加代码后，由于我们在项目中使用的配置，Cookie 横幅也无法访问并且不会弹出。什么...