如何從內容安全策略中刪除不安全的內聯和不安全的評估？

Question

誰能知道如何使用 nonce 從內容安全策略中刪除不安全的內聯和不安全的 eval，任何人都有任何資源如何實現 nonce，因為我無法正確實現它我想我在 node.js 應用程序中遇到錯誤。 我試過頭盔、元標簽、設置標題都沒有用。

Answer 1

您不能使用 nonce 刪除 'unsafe-eval'，您需要重寫或替換代碼。

隨機數很難。 您將需要在 CSP 和代碼中動態插入隨機數。 它還需要隨着每個頁面加載而更改以確保安全。 框架並不總是允許這樣做。 還要記住，內聯事件處理程序不是不可執行的，需要重寫。 我建議嘗試將所有 static 腳本和樣式重寫為單獨的文件，然后查看您是否仍然需要 rest 的隨機數，或者您是否可以通過其他方式處理它。

Answer 2

https://github.com/wyday/mod_cspnonce是一個 apache 模塊，可用於代替 unsafe-inline 實現隨機數。