我正在将来自第三方的JavaScript文件加载到我的应用程序中,该文件会在页面上注入一个iframe。当该iframe加载时,它会加载自己的JavaScript代码,并在父窗口中创建一个内联样式标签。
由于这种流程,我必须在内容安全策略的style-src指令中添加"unsafe-inline"。是否有类似于strict-dynamic的东西可以用于加载这种样式?或者是否有某种解决方案,使我不必在CSP中列出"unsafe-inline",但仍允许加载这个样式表?
我能想到的最好的办法是每隔几小时扫描此重定向文件并为其生成子资源完整性哈希,以便定期将其注入到我的CSP中,但这似乎非常脆弱。
由于这种流程,我必须在内容安全策略的style-src指令中添加"unsafe-inline"。是否有类似于strict-dynamic的东西可以用于加载这种样式?或者是否有某种解决方案,使我不必在CSP中列出"unsafe-inline",但仍允许加载这个样式表?
我能想到的最好的办法是每隔几小时扫描此重定向文件并为其生成子资源完整性哈希,以便定期将其注入到我的CSP中,但这似乎非常脆弱。
style-src
,例如'self' https://3rdparty.lib/styles/* 'unsafe-inline'
。由于你现在必须使用内联样式标签而不能使用哈希或随机数,缩小从样式标签中加载的内容是我所看到的唯一解决方案。虽然这不像完全排除不安全的内联源那样安全,但仍比根本没有 style-src CPS 措施要好得多。 - Dan Macak