Webpack 4用不安全构建砖CSP -评估
Webpack是一个现代化的静态模块打包工具，用于将多个模块打包成一个或多个bundle文件。它是前端开发中常用的工具之一，可以帮助开发者管理和优化前端资源。
Webpack 4是Webpack的第四个主要版本，它引入了许多新功能和改进，包括更快的构建速度、更好的性能、更简化的配置等。
CSP（Content Security Policy）是一种安全策略，用于防止跨站脚本攻击（XSS）和数据注入攻击。它通过限制页面中可以加载和执行的资源来增加网站的安全性。
评估Webpack 4用不安全构建砖CSP是指对Webpack 4构建的应用程序进行安全评估，以确保其在使用CSP时没有安全漏洞。
在评估Webpack 4构建的应用程序时，可以采取以下步骤：
- 确保Webpack 4的版本是最新的，以获得最新的安全修复和改进。
- 检查应用程序的Webpack配置文件，确保已正确配置CSP。CSP的配置可以通过添加适当的HTTP头或在HTML文档中添加meta标签来实现。
- 确保CSP的策略设置合理且严格，以限制页面中可以加载和执行的资源。例如，可以限制只允许加载来自特定域名的脚本和样式表。
- 使用Webpack的插件或加载器来处理和优化前端资源，以减少潜在的安全风险。例如，可以使用压缩插件来减小文件大小，使用代码分割来减少脚本的加载时间等。
- 进行安全测试，包括静态代码分析、漏洞扫描和黑盒测试等，以发现潜在的安全漏洞和风险。
推荐的腾讯云相关产品和产品介绍链接地址：
- 腾讯云Web+：https://cloud.tencent.com/product/webplus
- 腾讯云CDN：https://cloud.tencent.com/product/cdn
- 腾讯云WAF：https://cloud.tencent.com/product/waf
- 腾讯云安全加速（DDoS防护）：https://cloud.tencent.com/product/ddos
- 腾讯云云安全中心：https://cloud.tencent.com/product/ssc
请注意，以上链接仅供参考，具体的产品选择应根据实际需求和情况进行评估和决策。
相关·内容
在开发时，当我在public/index.html中添加csp头时，它会出现以下错误？我该如何解决这个问题？在html中添加csp以防止来自其他来源的XSS攻击，以及在构建时而不是在开发过程中防止eval和函数等的使用的正确方法是什么？
<meta
http-equiv="Content-Security-Policy"
content="default-src 'self' http://localhost:8080/*; img-src https://* http://localhost:8080/* ; child-src '
浏览 2提问于2020-04-15得票数 1
我跟随的文章，将CSP添加到我现有的react应用程序中。我完成了在“使用内联脚本或样式”中编写的所有步骤，下面是我的config-overrides.js文件：
const { override } = require('customize-cra');
const cspHtmlWebpackPlugin = require('csp-html-webpack-plugin');
const cspConfigPolicy = {
'default-src': "'none'",
'base-
浏览 5提问于2020-01-05得票数 9
回答已采纳
问题出在在编译的代码中使用eval的Webpack。因此，Chrome扩展和Firefox插件无法工作，因为它需要CSP属性中的'unsafe-eval‘指令，这是不允许的。我使用Vue.js作为前端，将webpack和vue-loader用于构建过程
Package.json文件
{
"webpack": "^3.10.0",
"babel-core": "^6.18.2",
"babel-loader": "^7.1.2",
"babel-preset-e
浏览 10提问于2018-02-09得票数 5
我正在回顾在我们的一个set服务器中设置的内容-安全性-策略头，我看到它是如何设置的(其中'example.com‘是我们信任的网站)。
内容-安全性-策略:默认-src 'self'；脚本-src 'self‘数据：’不安全-内联‘’不安全-eval‘；img-src 'self’*.example.com；字体-src *；连接-src 'self‘*example.com“。
我的问题是：
( 1)白名单中的unsafe-inline和unsafe-eval难道不能打败整个CSP吗？
2)如果允许使用“不安全-内联”，或者如上面所示，有人可
浏览 0提问于2018-11-20得票数 3
我目前正在开发一个小应用程序，试图从API中获取数据。首先，我用电子锻造的webpack和反应模板开始。
如果在HTML的meta标记中没有任何CSP配置，我将得到以下错误：
将以下CSP添加到我的主HTML文件中：
<meta
charset="UTF-8"
http-equiv="Content-Security-Policy"
content="default-src 'self' 'unsafe-inline' data: https://api.flybywir
浏览 12提问于2021-12-27得票数 0
我正在使用包在laravel应用程序上设置CSP头。但无法应用inline style，并在出现以下错误时拒绝。
Refused to apply inline style because it violates the following Content Security Policy
directive: "style-src 'self' 'nonce-TjpZGox5zGathTvJDeVMfxzHaOtWMc7v' 'unsafe-inline'".
进一步的细节。
我用的是拉里7号。
/spatie/larav
浏览 21提问于2022-09-16得票数 0
1回答
我正在为我的网站构建一种内容安全策略生成器。我被它的.htaccess部分中的一个特定部分所困扰
生成的.htaccess是：
# Media Sources
SetEnv CSP_Media "media-src 'self' ;"
# Default Sources
SetEnv CSP_Default "default-src 'self' kevinpirnie.com ;"
# Add the CSP Headers
SetEnv CSP "%{ENV:CSP_Default} %{ENV:CSP_Media
浏览 9提问于2020-12-16得票数 1
回答已采纳
我安装了node js和mongo db，然后启动了node js。当我启动节点js时，我得到了这个错误。此错误是从server.js文件引发的。但是我不能准确地检查哪一行抛出了错误。
/Users/aarthi.ananth/reactjs/reactjs/reaact-csp/CSP/public/build/server.js:22404
href: _react2['default'].PropTypes.string,
^
TypeError: Cannot read property &#
浏览 5提问于2017-12-18得票数 0
我无法让nextjs开发模式与“风格-src”CSP活动。目前我只剩下两个错误，但这些错误影响了我的开发流程：
我认为这两个错误将是在开发模式和刷新旋转器中错误显示的样式。
有什么办法来解决这个问题吗(添加现在还是别的什么)。我希望有相同的CSP开发与生产，以不产生CSP错误后，构建。(即)(在某些地方使用内联样式)。如果我必须使用“不安全内联”进行开发，在构建和部署更改之前，我不会收到通知。
使用__webpack_nonce__也无济于事。
像脚本这样的接缝试图向dom注入一个<script>元素，但不尊重__webpack_nonce__。有没有办法强制将它注入每个
浏览 9提问于2022-04-29得票数 0
1回答
我使用此方法使用eval (也用于AngularJS)检测CSP：
function noUnsafeEval() {
try {
new Function('');
return false;
} catch (err) {
return true;
}
}
但是我没有一个有CSP的服务器来彻底测试它。
它可靠吗？代码中new Function('')行的存在会导致无法捕获的错误吗？
err是什么？那里捕获了哪种错误(Error、TypeError等)？CSP错误的信息是什么？
我无法在CSP
浏览 4提问于2017-02-25得票数 6
回答已采纳
由于CSP需求，我不得不在vue 2 CLI环境中转换静态Vue应用程序。
在阅读了大量在线文档之后，我意识到对于符合CSP的vue，您需要使用呈现函数和运行时版本的Vue.js。
我的问题是，在将我的旧静态vue应用程序转换为Vue CLI构建过程后，我仍然得到一个‘不安全-eval’是不允许的消息。我不知道为什么会这样，因为Vue 2的cli构建过程显然使用了CSP兼容的运行时vue版本，除非webpack的配置文件中另有规定。
导致CSP错误的特定代码(只有一个实例)可以在构建/输出vendor.js文件中找到。造成此问题的代码是：
function Ts(t, e) {
浏览 10提问于2022-09-29得票数 1
1回答
我想在我的web应用程序中强制执行CSP作为安全措施。从服务器端，我已经将策略设置为“允许”其所有资源的self。然而，有一个特殊的前端node_module文件，它是抛出错误，如下所附。
CSP头集是: script-src 'self‘'node_modules/aurelia-webpack-plugin/runtime/empty-entry.js'；脚本-src-elem 'self'；style-src 'self'；img-src 'self’。
请帮帮忙，我已经找了一个多星期的解决办法了！已尝试的解决办法：
尝试前
浏览 5提问于2022-08-24得票数 0
回答已采纳
1回答
Webpack的一个特点是将nonce添加到它加载的所有脚本中。
要激活特性集，需要在条目脚本中包含一个__webpack_nonce__变量。
由create react app生成的react应用程序中的条目文件是index.js。因此，我需要做的就是添加条目文件。
// ...
__webpack_nonce__ = 'c29tZSBjb29sIHN0cmluZyB3aWxsIHBvcCB1cCAxMjM=';
// ...
最后一件事就是让webpack CSP。
请注意，默认情况下不启用CSP。需要与文档一起发送相应的标题内容-安全策略或元标记，以指示浏览
浏览 0提问于2018-08-31得票数 10
努布在这里。使用创建PWA React应用程序，并在默认设置为none和没有img设置的情况下运行CSP问题来覆盖它。
已经搜索并尝试了许多有用的答案来解决这个确切的问题，但是还没有找到适用于我的应用程序的答案。也许我只需要第二双眼睛？
错误是：
得不到/得不到
控制台告诉我如下：
加载资源失败:服务器响应的状态为404 (未找到) localhost/:1拒绝加载图像'‘，因为它违反了以下内容安全策略指令："default-src 'none'“。请注意，“img-src”没有显式设置，因此“default-src”用作回退。
localhost/:1加载资源
浏览 1提问于2020-10-30得票数 1
回答已采纳
我使用Vuejs构建了一个浏览器插件，并使用Laravel作为我的构建过程。
我所有的vue模板都是在单个文件组件中，所有的东西都是绝对有效的Firefox显示了错误：
Content Security Policy: The page's settings blocked the loading of a resource...Source: call to eval() or related function blocked by CSP.
Laravel使用webpack和vue装载机，我的印象是这个包创建的是符合CSP的。
我看过构建的JS，似乎没有对eval()的调用，但是有
浏览 7提问于2017-11-06得票数 5
回答已采纳
2回答
我使用的是nicEditor，在nicEditor中有一个名为eval的方法被CSP阻塞。当我注释掉CSP代码时，它运行得很好。
Error: call to eval() blocked by CSP nicEdit.js:779:36
我的CSP代码：
scriptSrc: ["'self'", "'unsafe-inline'"]
我还读过
提前感谢
浏览 3提问于2016-07-12得票数 0
回答已采纳
1回答
记录/记录CSP违规行为
、、、、
我正在为各种域实现CSP策略，并正在寻找一种方法来记录/记录任何最终用户遇到的浏览器CSP违规行为。我想确保我不会错过任何域，但希望避免手动访问每个页面并检查浏览器错误控制台。这里找出可能遇到的外部域和资源的最佳实践是什么？
浏览 0提问于2021-10-01得票数 2
我使用Angular2 final (2.0.2)和角-cli.我正在尝试将其设置为使用PhantomJS运行单元测试。运行带有Chrome和业力的规格--铬发射器工作--所有测试都通过。运行同样的幻影-预置2.1.13和业力-幻影-发射器1.0.2测试失败。
我在karma.conf中将幻影启动器添加到插件数组中，在浏览器数组中添加了PahntomJS。
我得到的错误是：
intlDateFormat@webpack:///Users/sninio/dev/csp-ui/~/@angular/common/src/facade/intl.js:117:0 <- src/main/js
浏览 3提问于2016-10-09得票数 4
回答已采纳
1回答
在下面显示的select语句中，我需要在单个字符串中缺少所有的列名。
我试过使用CASE语句，但它不起作用，因为如果第一个条件匹配，它将省略第二个条件。
SELECT
stg2.StageID
,[CSP]
,[CSPRegionID]
,[SoldToCompanyID]
,[EndUserCompanyID]
,[SupportOptionID]
,'One/More Mandatory value/s is/are missing' FailureReason
,CASE WHEN stg2.CSP IS
浏览 7提问于2014-12-15得票数 1
回答已采纳
我最近安装了，在定义了默认内容安全策略之后，我意识到我的Swagger文档页面没有加载。
Swagger文档页面是由烧瓶-restplus自动生成的，它只是停止了加载。
我定义的内容安全策略(CSP)如下：
csp = {
'default-src': '\'self\''
}
talisman = Talisman(app, content_security_policy=csp)
能否简单地通过向CSP中的受信任域添加swagger来解决这个问题，就像这样？
csp = {
'default-src': [&#
浏览 13提问于2019-10-29得票数 1
回答已采纳
我的webapp有一个内容安全策略，它将images设置为*(从任何地方加载图像)，但是Chrome仍然阻止一些图像的加载.
拒绝加载映像的数据: image /webp；base64 64，UklGRhoAAABXRUJQVlA4TA0AAAAvAAAAEAcQERGIiP4HAA==‘，因为它违反了以下内容安全策略指令：“img *”。lg @ geometry&v=3&callback=async_req_1:84(anonymous函数)@ js?libraries=places，geometry&v=3&callback=async_req_1:11
浏览 0提问于2015-12-04得票数 8
回答已采纳
1回答
我试图为一个相对独立的Pipe实现一个测试。我正在使用angular-cli的最新版本( @angular 2.0.0)。
管道代码是：
import { Pipe, PipeTransform } from "@angular/core";
import { DatePipe, JsonPipe } from "@angular/common";
@Pipe({name: 'dataTableFormat'})
export class DataTablePipe implements PipeTransform {
// values
浏览 0提问于2016-09-21得票数 3
回答已采纳
3回答
OWASP 在API响应中使用Content-Security-Policy: frame-ancestors 'none'，以避免拖放式点击攻击.
但是，在加载页面之后，相同上下文中的任何其他CSP规则都将被丢弃，而不会产生任何效果。这在我关于CSP工作方式的心智模型中是有意义的，但是如果OWASP推荐它，那么我肯定遗漏了一些东西。
有人能解释XHR请求中的CSP头在HTML页面已经加载和“主”CSP已经评估之后如何提高安全性吗？在浏览器中是如何工作的？
浏览 10提问于2021-08-23得票数 2
回答已采纳
根据我对的理解，nonce必须根据每个请求进行更改。这意味着(我认为)它必须在客户端的运行时生成，而不是在Webpack配置中的构建时生成。我已经在我的应用程序中测试了，它工作得很好。
不幸的是，我不确定如何将在客户端运行时生成的值传递给实际的CSP策略，该策略要么在index.html文件(或类似文件)中设置为元标记，要么在服务器本身上设置为元标记。
我认为您可以在客户端动态设置CSP元标记，但这似乎存在安全风险。我试验过，它在构建时计算文件的哈希值，然后将它们添加到index.html中。这个过程对我来说是有意义的，它只是不支持我们的用例。
我只是觉得我在使用webpack_nonce的时
浏览 2提问于2018-04-04得票数 16
我在我的项目中使用方舟，我试图通过webpack将它们添加到项目中。
我已经将import '@fortawesome/fontawesome-free/js/fontawesome.js'添加到app.js中，并将@import '@fortawesome/fontawesome-free/scss/fontawesome';添加到main.css文件中。
但是，当我在borwser中加载我的应用程序时，我得到了以下CSP违规错误。
Refused to apply inline style because it violates the following
浏览 13提问于2022-07-11得票数 0
回答已采纳
我正在使用https://csp-evaluator.withgoogle.com/评估CSP策略。该策略配置如下：
default-src 'self';object-src 'self';script-src 'self' 'unsafe-inline' 'unsafe-eval';script-src-elem 'self' 'unsafe-inline' 'unsafe-eval';script-src-attr 'self' 'uns
浏览 0提问于2020-12-29得票数 2
我正在实现一个Alpha-Beta剪枝算法，它将用于在奥赛罗游戏中获得最佳移动。当算法到达一个叶节点时(即没有有效的移动或它达到了最大深度)，我就根据这个来计算该节点的启发值：
最大化玩家(运行算法并将使用算法返回的移动的玩家)在这个节点的棋盘上有多少块砖？(每块砖+1)
最大化玩家在这个节点上有多少有效的移动？(每移动+10)
最大化玩家有多少块角砖？(每块角砖+100块)
问题是:当玩家在叶子节点中不是最大化时，我应该怎么做？那么就不可能计算出他的有效走法，因为现在还没有轮到他。我可能误解了整个alpha-beta剪枝算法，或者至少理解了启发式函数的工作原理。有没有人能给我点提示？
谢谢
浏览 1提问于2012-12-10得票数 1
我试着用我自己的webpack设置和配置重新创建了一个我的React应用，这个应用是用create-react-app完成的。在我遇到内容安全策略问题之前，一切都很正常，如下所示：
Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'none'". Either the 'unsafe-inline' keyword, a hash ('sha256-ThhI8
浏览 6提问于2020-04-17得票数 0
我试图构建一个.NET项目，我不知道它是如何通过MSbuild插件在Jenkins.Anyhow中工作的，这个项目的目标是框架3.5，以及我在构建服务器中使用的内容。在我构建的过程中，我得到以下错误，不知道如何解决。
"c:\jenkins\workspace\Master.sln" (default target) (1) ->
"c:\jenkins\workspace\FactivaWebUI01-Fornax\UIVirtualServices\UIVirtualServices.csproj" (default target) (16) -&g
浏览 1提问于2014-08-05得票数 1
回答已采纳
1回答
我正在使用oidc-client构建一个SPA，以便登录到使用Identity Server 4构建的IDP。
登录重定向似乎工作得很好，但在Firefox上，我遇到了以下CSP问题
Content Security Policy: Ignoring "'unsafe-inline'" within script-src or style-src: nonce-source or hash-source specified (unknown)
Content Security Policy: The page's settings block
浏览 6提问于2017-06-20得票数 4
回答已采纳
1回答
使用yarn create electron-app my-new-app --template=typescript-webpack用Typescript/Webpack启动了一个新的电子应用程序，并遵循添加了React。
我的文件树是这样的：
-src
--app.tsx
--index.html
--index.ts
--renderer.ts
-webpack.main.config.js
-webpack.renderer.config.js
-webpack.rules.js
-webpack.plugins.js
我在第一次启动时收到了编译警告。
Electron Securit
浏览 58提问于2021-06-01得票数 0
我需要计算一个由用户构建的布尔表达式。我认为有两种方法可以做到：
1)构建一个字符串并将其传递给eval
2)构建抽象语法树，自己评估
我已经用eval实现了它，因为它是最简单的解决方案。我不相信第二种选择会更好，如果它真的更慢，我也不会感到惊讶。
安全性应该不是问题，因为我是从一组预定值构建表达式的。
在大多数情况下，表达式将非常简单，但也可以构建更复杂的表达式。这大概和它将要得到的一样复杂："(true||false&&false)&&(true)“
有什么想法？
浏览 5提问于2011-09-29得票数 4
回答已采纳
1回答
所以我想要做的是，当有人选择' select '表单的一个元素时，做一些已经在脚本部分的"showPost()“函数上定义的事情。CSP一直拒绝我的手术
我已经尝试过CSP散列和CSP现在。但两者都不起作用。
如果我应用‘不安全内联’，它可以工作，因此该函数没有问题。
什么应该是错的？
P.S.：我在HTML(EJS)文件中使用自定义的CSS样式，所以我在CSP styleSrc设置上也做了CSP哈希操作。而且效果很好。
1.错误信息
2.我的选择表格
3.守则
HTML(EJS)文件的一部分
<select class="form-s
浏览 2提问于2022-03-03得票数 0
我正在构建一个铬扩展名，并使用vue-cli webpack配置。我希望能够在运行命令之后使用vue devtools。
我试图在Vue.config.devtools = true;中添加main.js，或者将NODE_ENV: '"production"'更改为NODE_ENV: '"development"'，但是vue devtools仍然没有出现。
如何在生产模式下启用vue devtools？
浏览 5提问于2017-06-27得票数 13
回答已采纳
我想构建一个简单的Sencha Touch-2.3.1应用程序，由Sencha CMD生成，在Windows8.1微软表面模拟器上运行。
1-我打开了Visual (2013年)并创建了一个新的JavaScript Windows项目。2-复制生成的Sencha应用程序文件到我的项目。3-将起始页从default.html更改为index.html。
然后我在模拟器上运行它，但是应用程序挂在带有白点的蓝色加载屏幕上。我打开js控制台，在日志中什么也没有发现。
从一开始，这种做法是错误的吗？Sencha Touch团队假设他们支持windows 8，但我无法找到任何说明构建过程的文档。
如果需要
浏览 1提问于2014-02-26得票数 2
回答已采纳
上下文描述--我正在使用AWS扩容来部署我的静态网页。
自定义安全头是通过配置文件customHttp.yml ()在部署中应用的。
我将customHttp.yml文件包含在.nuxtignore文件中，以防止只更改自定义标题时触发webpack文件的重新生成。但是，这只在本地工作，而不是在部署过程中的服务器端。
问题描述AWS扩容在部署过程中不使用.nuxtignore文件。因此，webpack文件每次都会重新生成，从而产生一个不同的散列值，我需要在CSP头字段中包含脚本-src和style-src。但是，由于触发重新构建以应用对customHttp.yml的修改，会为jetpack文件生
浏览 9提问于2021-01-17得票数 0
回答已采纳
我们有一个角8单页网页应用程序部署在客户服务器。他们将一个CSP指令设置为:default 'self‘。和其他角度应用程序一样，我们使用ng build --prod构建了角应用程序。部署之后，我们得到以下错误：
main-es2015.47b2dcf92b39651610c0.js:1 Refused to apply inline style because it violates the following Content Security Policy directive: "default-src 'self'". Either the &#
浏览 1提问于2020-04-20得票数 0
1回答
我已经使用ng-cli-hooks自定义构建器将CSP注入到index.html文件中，并生成自定义webpack配置。
现在，我正在研究@ngx-env/builder，以便在构建中注入环境变量。
但是如何使用两个或两个以上的自定义构建器呢？我想在angular.json中没有设置，我只需添加一个以上的生成器，因为我对此的搜索没有发现任何结果。
但是，是否有可能创建自己的自定义构建器，然后从其他两个构建器中导入功能？
谢谢!
浏览 13提问于2022-08-17得票数 0
回答已采纳
我需要帮助。在我的react生产应用上，被csp屏蔽了。我也添加了webpack的配置。
new CspHtmlWebpackPlugin({
// 'base-uri': "'self'",
// 'object-src': "'none'",
'script-src': [
"'unsafe-inline'",
"'unsafe-eval'",
浏览 8提问于2021-10-26得票数 0
我正在使用rails构建一个API，并将数据发送到我的React视图。不幸的是，每当我从CLI运行webpack-dev-server并转到localhost:3035时，我都会收到以下错误
Content Security Policy: The page's settings blocked the loading of a resource at data:font/woff;base64,d09GRgABAAAAAJd6AB… ("default-src").
但是，如果我在端口3000上加载localhost，一切都会正常工作。
有人知道问题出在哪里吗？
浏览 4提问于2020-02-05得票数 0
我是一个团队的成员，负责构建打包的Firefox OS应用程序。由于Firefox OS特权应用程序的CSP策略受到限制，我将ng-csp指令添加到应用程序的主体中：
<body ng-app="the-app" ng-csp>
Firefox特权应用程序的CSP规范是：default-src *; script-src 'self'; object-src 'none'; style-src 'self' 'unsafe-inline'
根据我可以从Firefox获得的日志，设备的角度似乎是在调用ev
浏览 2提问于2013-05-09得票数 4
回答已采纳
我有一个ASP.NET web应用程序，它使用asp-validation-summary。因此，将内联style添加到页面中的HTML元素中。
这使我在运行应用程序时，控制台(Chrome v78.0.3904.108)出现了以下错误：
拒绝应用内联样式，因为它违反了以下内容安全策略指令：" style -src 'self‘“。要么是‘不安全-内联’关键字，要么是散列('sha256-aqNNdDLnnrDOnTNdkJpYlAxKVJtLt9CtFLklmInuUAE=')，，要么是“不安全-.”)需要启用内联执行。
因此，我将哈希添加到我的CSP
浏览 1提问于2019-11-26得票数 6
我有一个应用程序，它使用高级图表向用户显示数据，而且运行良好。我现在正在为这个应用程序应用一个内容-安全-策略头，这也很好(目前只在报告模式下)。
问题是高级图表使用内联样式，显然这些都是违反CSP的行为。因此，我希望防止这些违反策略的行为，而不只是允许内联样式(这降低了拥有CSP的价值)。
因此，我的问题是:是否有办法将现在的情况注入高图表，使违规行为停止？
错误报告是：
[Report Only] Refused to apply inline style because it violates the following Content Security Policy directive
浏览 1提问于2020-05-22得票数 2
回答已采纳
我目前正在尝试在我的应用程序中引入一个内容安全策略，这个策略是使用Range5构建的。我目前正在index.html中使用一个index.html标记来实现CSP，不过我将来会改变这一点。我已将以下内容插入我的应用程序
<meta http-equiv="Content-Security-Policy" content="script-src 'self'; img-src 'self' data:;media-src 'self'; object-src 'self' data: 'unsa
浏览 1提问于2018-05-25得票数 3
1回答
当webpack的style-src试图在一个创建反应应用程序(CRA)中添加内联CSS时，严格的CSP似乎会让style-loader感到不快：
我想知道我是否需要使用webpack dev服务器来利用现在的令牌，或者CRA是否有办法在开发过程中避免这种风格问题。在这种情况下，REACT_APP_INLINE_RUNTIME_CHUNK=false值似乎没有帮助(实际上，我没有看到将其设置为true与false之间的资源之间的差异)。但是我运行的是npm start而不是npm build，我认为后者使用环境变量进行了正确的构建，并不确定CRA服务器。
浏览 3提问于2021-09-05得票数 0
回答已采纳
我在为创建一个使用“创建-反应-应用程序”创建的构建而挣扎，使用的是带头盔的Express。在资源管理器控制台中有几个与内容安全策略相关的错误：
当然，它没有显示应用程序。我注意到，如果在Express中删除头盔作为中间件，它可以工作，但这不是我想要的解决方案。这是我的服务器代码：
const express = require('express');
const helmet = require('helmet');
const cors = require('cors');
const morgan = require('mor
浏览 3提问于2020-11-06得票数 6
回答已采纳
在编译Webpack后重新加载我的Chrome扩展时，我得到了这个错误：
Uncaught EvalError: Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: "script-src 'self' blob: filesystem: chrome-extension-resource:".
浏览 15提问于2018-01-01得票数 66
回答已采纳
1回答
我正试图在我的站点上实现CSP，经过一些研究，我发现大多数站点没有实现它，或者实现非常薄弱。
我还看到CSP的实现类似于HSTS，您需要插入一些CSP标记来实现它。
所以我的问题是：
CSP是网络安全的最低要求吗？
CSP对SEO的影响是什么？
浏览 0提问于2021-02-01得票数 0
回答已采纳
我有一个包含内联js、内联css和base46编码图像的完整html页面，我将其作为base64编码的数据URI加载。
data:text/html;base64, .....
Chrome控制台声明，我违反了CSP，尽管我已经使用了所有(？)可能的缓解措施：
我使用meta-tag选项来设置不那么严格的CSP规则。
我已经实施了现在的缓解措施
尽管如此，我还是实现了sha256-散列的缓解: Chrome声明，我违反了CSP。在Firefox中，一切都运行良好，但基于Chromium的浏览器不起作用。
html：
<!doctype html>
浏览 2提问于2022-05-05得票数 0
我正在尝试更新我的博客，它使用了hugo-coder主题。我已经尝试更新我已经添加的子模块，升级后当我运行hugo server命令时，我得到以下异常： Change of config file detected, rebuilding site.
2021-03-15 22:01:46.390 +0530
ERROR 2021/03/15 22:01:46 render of "taxonomy" failed: execute of template failed: template: _default/list.html:11:9: executing "_d
浏览 149提问于2021-03-16得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
