Handlebars.js: Chrome-Erweiterungsmanifest v2 schränkt die Verwendung von eval ein

Dies ist an das Design des Frameworks geerbt. Wenn Sie in einer Umgebung arbeiten, in der Sie kein dynamisch generiertes Javascript verwenden können, müssen Sie Ihre Vorlagen vorkompilieren und die generierte Ausgabe in Ihr Paket aufnehmen.

Das beunruhigt mich. Hier ein Zitat von der Google-Seite:

„Wir erkennen jedoch, dass eine Vielzahl von Bibliotheken eval() und eval-ähnliche Konstrukte wie new Function() zur Leistungsoptimierung und einfacheren Ausdrucksweise verwenden. Vorlagenbibliotheken sind besonders anfällig für diesen Implementierungsstil. _Während einige (wie Angular .js) unterstützen CSP von Haus aus,_ viele gängige Frameworks wurden noch nicht auf einen Mechanismus aktualisiert, der mit der eval-less-Welt von Erweiterungen kompatibel ist. Die Entfernung der Unterstützung für diese Funktionalität hat sich daher für Entwickler als problematischer erwiesen als erwartet."

Einige Vorlagensysteme können also CSP-kompatibel sein, Lenkstangen jedoch nicht? Nachdem ich nun Lenker in meinem Projekt verwendet habe, habe ich zwei Möglichkeiten, um meine App CSP-kompatibel zu machen:

1) Lenker ausreißen
2) Kompilieren Sie alle meine Vorlagen vor.

Angesichts der dynamischen Natur meiner Vorlagen ist die Vorkompilierung keine Option. So, jetzt muss ich den Lenker ausreißen, da dieser Defekt geschlossen ist.

Ist es nicht möglich, dem CSP-Leitfaden hier zu folgen?

"Sie können es zulassen, indem Sie 'unsafe-eval' zu Ihrer Quellenliste hinzufügen"

Das macht im Grunde den Sinn der Verwendung eines CSP zur Verhinderung einer Injektion zunichte.

FWIW, Cloudant (basierend auf Apache CouchDB) hat kürzlich seine datenbankinterne Skriptverarbeitung geändert, um auch eval() und new Function() https://console.bluemix.net/docs/services/Cloudant/release_info /deprecations.html#disabled -javascript-constructors

Das Vorkompilieren von Vorlagen in JS funktioniert für einige Szenarien, aber nicht für alle. Es wäre toll, wenn es andere Optionen gäbe, damit Handlebars.js an mehreren Stellen verwendet werden könnte.

Aber... das ist vielleicht nur Wunschdenken. :smiley: