Google的嚴格CSP 3，style-src？

Question

Google的工程師已經開發並建議使用嚴格的CSP： https : //csp.withgoogle.com/docs/strict-csp.html

目標是僅允許具有隨機數的腳本。 他們的CSP中沒有style-src指令，因此在我們的應用中，我可以加載Google字體，外部CSS表格等內容， 而不會產生隨機數。

這似乎是他們的CSP失誤了，還是我缺少了什么？

Answer 1

我認為正在發生的事情是，他們建議使用較新的“嚴格動態”設置，以允許自動加載某些依賴項。

“嚴格動態”源表達式的目的是使內容安全策略更易於部署，這些應用程序對直接加載的腳本有高度信心，但對提供合理的加載資源列表的能力卻缺乏信心的現有應用程序面前。

它允許通過nonce或hash獲得訪問頁面權限的腳本引入其依賴關系，而無需將其明確添加到頁面策略中。

參考： https : //w3c.github.io/webappsec-csp/#strict-dynamic-usage