[英]What CSP is safer - style-src 'none' or style-src 'unsafe-inline'
我正在努力完全理解style-src 'none' 。 根据命名，这听起来像是限制性的，还是意味着没有规则，你可以为所欲为？
对于script-src 'none'相同问题，在不太可能的情况下它的行为不同。
旁注 - 如果您使用库styled-components最好的 CSP 是什么（所有内容都与该库内联注入）？
编辑：
我之前已经阅读过来自 mdn 的none的描述。
'none'
Refers to the empty set; that is, no URLs match. The single quotes are required.
这是什么意思？ 这是否意味着它不会阻止样式/脚本或相反？
'none'的政策来源是最严格的； 这意味着没有主机是有效的。
从我上面引用的链接：
https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP
让我们考虑一个位于http://example.com/signup.html的页面。 它使用以下策略，禁止来自 cdn.example.com 的样式表以外的所有内容。
Content-Security-Policy: default-src 'none'; style-src cdn.example.com; report-uri /_/csp-reports
“style-src 'self' https://maxcdn.bootstrapcdn.com/bootstrap/”。 'unsafe-inline' 关键字，一个散列
[英]"style-src 'self' https://maxcdn.bootstrapcdn.com/bootstrap/". Either the 'unsafe-inline' keyword, a hash
使用没有 style-src 'unsafe-inline' 的 ACE Web-Editor
[英]Use the ACE Web-Editor without style-src 'unsafe-inline'
拒绝加载样式表，因为它违反了以下内容安全策略指令：“style-src 'self' 'unsafe-inline'”
[英]Refused to load the stylesheet because it violates the following Content Security Policy directive: "style-src 'self' 'unsafe-inline'"
拒绝加载脚本，因为它违反了以下内容安全策略指令：“style-src 'self' 'unsafe-inline'
[英]Refused to load the script because it violates the following Content Security Policy directive: "style-src 'self' 'unsafe-inline'
在普通 html 文件中对 script-src 和 style-src 使用 CSP 元标记
[英]Using CSP meta tag for script-src and style-src in normal html file
因为它违反了以下内容安全策略指令：“style-src'self'”
[英]because it violates the following Content Security Policy directive: “style-src 'self'”
使用 Content-Security-Policy 和 JavaScript 避免 `script-src 'unsafe-inline'`
[英]Avoiding `script-src 'unsafe-inline'` with Content-Security-Policy and JavaScript
根据用户 ID 更改背景图像并避免 CSP 不安全内联
[英]Change background image according to user ID and avoid CSP unsafe-inline
CSP没有跨域iframe的不安全内联寄存器加载处理程序
[英]CSP without unsafe-inline register onload handler for cross-origin iframe
在我的站点中实现了 CSP，但第 3 方库使用内联 javascript。 我可以选择性地允许“不安全内联”吗？
[英]Implemented CSP in my site, but a 3rd party library uses inline javascript. Can I selectively allow 'unsafe-inline'?
声明:本站的技术帖子网页，遵循CC BY-SA 4.0协议，如果您需要转载，请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.