<p>MathJax को असुरक्षित "सामग्री सुरक्षा नीति" की आवश्यकता है</p>

असुरक्षित eval मेरे लिए भी एक बड़ा मुद्दा है। बहुत जल्द क्रोम सभी एक्सटेंशन को एक सामग्री सुरक्षा नीति अपनाने के लिए बाध्य करेगा जो eval के उपयोग पर प्रतिबंध लगाती है। हम वर्तमान में इसका अनुपालन करने के लिए रीडियम को अपग्रेड करने का प्रयास कर रहे हैं लेकिन हम ऐसा नहीं कर सकते हैं और मैथजैक्स का उपयोग नहीं कर सकते हैं

+1

धन्यवाद दोस्तों। हम इस पर गौर करेंगे।

बस एक प्रारंभिक अद्यतन। कुछ मुद्दों को जल्द ही ठीक करना संभव लगता है (उम्मीद है कि क्रोम स्टोर के लिए पर्याप्त है)। हालांकि, हमें यकीन नहीं है कि प्रदर्शन कैसे प्रभावित होगा - जैसा कि आप अनुमान लगा सकते हैं, खराब हो सकता है। जब @dpvc इस पर अधिक विस्तार से विचार करेगा और संभवत: कुछ प्रयोगात्मक शाखाएं बना सकेगा, तब हम आपको अपडेट रखेंगे।

यदि आपके पास विशिष्ट कोड के बारे में अतिरिक्त टिप्पणियां, प्रश्न और सुझाव हैं, तो कृपया हमें बताएं।

मैंने खुद इसे देखने में थोड़ा समय बिताया। ऐसा लगता है कि आप लोगों को समयपूर्व अनुकूलन के साथ रुकने की जरूरत है। एक स्ट्रिंग का मूल्यांकन बंद करने से तेज नहीं है।

साथ ही, आपको प्रत्येक पृष्ठ पर eval() नहीं चलाना चाहिए जो केवल यह जांचने के लिए कि क्या आप eval() चला सकते हैं, Mathjax लोड करता है। मूल रूप से, यह जाने की जरूरत है।

new Function() कॉल गति के लिए नहीं बल्कि स्मृति के लिए हैं। new Function() एक क्लोजर नहीं बनाता है, और इसलिए स्थानीय दायरे में नहीं आता है। चूंकि यह ऑब्जेक्ट-ओरिएंटेड प्रोग्रामिंग मॉडल के केंद्र में है, और उपयोग में बहुत सारी वस्तुएं हैं, इसका स्मृति उपयोग पर प्रभाव पड़ सकता है। मैंने हाल के ब्राउज़रों में इसका कोई परीक्षण नहीं किया है।

जहां eval उपयोग का सवाल है, MathJax इसका उपयोग अपने इन-लाइन कॉन्फ़िगरेशन ब्लॉक को संभालने के लिए करता है, और इसे इस बिंदु पर आसानी से बदला नहीं जा सकता है। तो मैथजैक्स के एक "सुरक्षित" संस्करण को बाहरी कॉन्फ़िगरेशन फ़ाइलों का उपयोग करने की आवश्यकता होगी (जो कोई समस्या नहीं होनी चाहिए, और शायद सुरक्षा नीति के अनुरूप अधिक है)। आपके द्वारा संदर्भित eval कॉल यह निर्धारित करने के लिए नहीं है कि eval चलाया जा सकता है या नहीं, बल्कि यह निर्धारित करने के लिए है कि क्या यह वैश्विक नामस्थान में चलता है (जो सभी ब्राउज़रों में ऐसा नहीं है)। मुझे पता है कि इसे ऐसे संस्करण के लिए निकालना होगा जो आपकी सुरक्षा आवश्यकताओं के साथ काम करेगा।

ऐसा नहीं है कि जावास्क्रिप्ट में क्लोजर कैसे काम करता है। आप स्थानीय दायरे में हर चीज पर पकड़ नहीं रखते हैं; आप केवल उन चीजों को कैप्चर करते हैं जो आपका फ़ंक्शन उपयोग करता है। आपका CONSTRUCTOR फ़ंक्शन स्थानीय दायरे से कुछ भी उपयोग नहीं करता है, बंद करने की कोई कीमत नहीं है। यह उस समस्या के लिए समयपूर्व अनुकूलन है जो कभी अस्तित्व में नहीं थी।

जहां तक eval की बात है, मेरी बात यह है कि यदि आपको इसकी आवश्यकता नहीं है तो आपको किसी पृष्ठ पर कोड नहीं चलाना चाहिए, खासकर यदि वह कोड जो असुरक्षित eval() का उपयोग करता है। आप केवल उस EVAL फ़ंक्शन का उपयोग करते हैं यदि Mathjax को इन-लाइन कॉन्फ़िगरेशन के साथ शामिल किया गया है, तो इसके लिए परीक्षण तब तक न चलाएं जब तक आपको आवश्यकता न हो। लेकिन वास्तव में, पृथ्वी पर कॉन्फ़िगरेशन को निष्पादन योग्य कोड क्यों होना चाहिए। यह वास्तव में केवल JSON का एक हिस्सा है जिसे कार्य करने के लिए पास किया जाता है। क्यों न केवल JSON पास करें, इसे पार्स करें और MathJAX फ़ंक्शन को कॉल करें?

ऐसा नहीं है कि जावास्क्रिप्ट में क्लोजर कैसे काम करता है। आप स्थानीय दायरे में हर चीज पर पकड़ नहीं रखते हैं; आप केवल उन चीजों को कैप्चर करते हैं जो आपका फ़ंक्शन उपयोग करता है।

मुझे नहीं लगता कि चीजें उतनी स्पष्ट हैं। सबसे पहले, यह मामला 2008 में _not_ था जब कोड का वह भाग लिखा गया था। मैंने आज सुबह ही परीक्षण चलाए हैं जो इस बात की पुष्टि करते हैं कि सफारी, फ़ायरफ़ॉक्स, ओपेरा, और आईई के संस्करण उस समय खेल रहे थे, जिस तरह से मैंने वर्णन किया था (पूरी गुंजाइश श्रृंखला को बंद कर दिया गया था, भले ही चर का उपयोग किया गया हो) ) यह साइट जो इसके लिए मेरा संदर्भ है, आज सुबह नीचे है (कल थी), इसलिए मैं विवरण की जांच नहीं कर सकता, लेकिन मुझे याद है कि यह ईसीएमएस्क्रिप्ट 262 विनिर्देश का हिस्सा था।

सफारी, क्रोम, फ़ायरफ़ॉक्स और आईई के वर्तमान संस्करण आपके वर्णन के अनुसार काम करते प्रतीत होते हैं, इसलिए कहीं न कहीं चीजें बदल गई हैं। ऐसा लगता है कि Safari 4, Firefox 3.6, और IE9 वे स्थान थे जहां परिवर्तन हुआ; मेरे पास परीक्षण करने के लिए क्रोम के पुराने संस्करण नहीं हैं, इसलिए वहां का इतिहास नहीं जानता। IE8 का व्यवहार पुराना है, और Opera 12 अभी भी करता है। मैंने मोबाइल उपकरणों की जांच नहीं की है। इनमें से कुछ ब्राउज़र MathJax की समर्थन सूची में हैं, इसलिए यह अभी भी एक समस्या है जिस पर हमें सामान्य रूप से MathJax पर विचार करना होगा। बेशक, मुझे यकीन है कि आपकी आवश्यकताओं के लिए कुछ काम किया जा सकता है।

JSON डेटा के लिए, कॉन्फ़िगरेशन ब्लॉक केवल MathJax.Hub.Config() कॉल से अधिक हो सकता है। उदाहरण के लिए, आप ईवेंट श्रोताओं को स्थापित कर सकते हैं, या अतिरिक्त कमांड को लागू करने के लिए TeX इनपुट jax में फ़ंक्शन जोड़ सकते हैं, और इसी तरह। ये JSON डेटा का हिस्सा नहीं हो सकते क्योंकि इनमें निष्पादन योग्य कोड शामिल होता है। यह सुविधा हमेशा उपयोग नहीं की जाती है, लेकिन यह निश्चित रूप से वास्तविक वेब साइटों द्वारा उपयोग की जा रही है। इसके अलावा, सभी लक्षित ब्राउज़रों में एक JSON लाइब्रेरी निर्मित नहीं होती है, और इसलिए पार्सिंग करने के लिए अतिरिक्त लाइब्रेरी की आवश्यकता होगी। (निश्चित रूप से दुर्गम नहीं है, लेकिन डाउनलोड करने के लिए अधिक कोड।)

इसे बदलने के लिए +1, ताकि (अन्य बातों के अलावा) जीथब मैथजेक्स को फिर से अपनी विकी में अनुमति देगा।

@ketch क्या आपके पास इस संबंध में गिथब के बयान देने का संदर्भ है? मैं नहीं देखता कि यह समस्या Github Wiki सुरक्षा को कैसे छूती है।

@pkra मैं निश्चित रूप से नहीं जानता कि यही कारण है, लेकिन मेरा मानना ​​​​है कि ऐसा ही है। मुझे इस पृष्ठ पर टिप्पणियों के द्वारा नेतृत्व किया गया था:

http://stackoverflow.com/questions/16889421/how-to-insert-javascript-to-enable-mathjax-on-github-wiki-pages

और देखो

https://github.com/blog/1477-content-security-policy

मेरा मानना ​​​​है कि मैथजैक्स समर्थन उसी समय गायब हो गया जब उन्होंने सीएसपी सुविधा को लागू किया।

धन्यवाद, यह दिलचस्प है। मुझे यकीन नहीं है कि दोनों संबंधित हैं लेकिन कौन जानता है - जीथब टीम ने कभी सार्वजनिक रूप से चर्चा नहीं की कि उन्होंने मैथजेक्स को क्यों हटाया। यह दुर्भाग्यपूर्ण होगा यदि ऐसा कुछ जो वास्तव में उनके सेटअप के लिए एक गैर-मुद्दा है, इसका कारण होता।

सीएसपी के अनुपालन के लिए +1।

+1

मैंने इस धागे को पढ़ा और इसे बहुत ही सूचनात्मक और काफी निष्पक्ष पाया। मैं अपने दावे को दांव पर लगाने जा रहा हूं कि वे [जीथब] सुरक्षा के मामलों पर निष्पादन, सीएसपी जैसे कुछ को रोकेंगे और इसकी अनुमति नहीं देंगे।

उस कोड नमूने और पिछले संस्करणों के आपके पौराणिक कंप्यूटर विद्या से रहस्यमय होने के अलावा, मुझे यह बहुत दिलचस्प लगता है और यह स्थिति लेता है कि इसके निरंतर उपयोग के लिए एक सुविधा उपलब्ध कराई जानी चाहिए, हालांकि इसे खुशियों में हस्तक्षेप नहीं करना चाहिए सुरक्षा से संबंधित दुनिया में MathJAX का उपयोग करने का मार्ग।

वैसे, मैंने जीथब समर्थन को ई-मेल किया कि उन्होंने मैथजेक्स को क्यों छोड़ा। यहाँ उत्तर है:

सीएसपी एक कारण था। अन्य कारणों में प्रदर्शन के मुद्दे और कठिन रखरखाव शामिल थे। हम इसे वापस जोड़ने पर विचार कर सकते हैं यदि हम उन कारणों को समाप्त कर देते हैं जो हमें इसे हटाने के लिए प्रेरित करते हैं, लेकिन मैं यह वादा नहीं कर सकता।

धन्यवाद @ketch , यह जानना अच्छा है।

@dpvc क्या हमें इसे अगले मील के पत्थर में जोड़ना चाहिए?

:+1:

@pkra , मैं इसे जोड़ने की योजना बना रहा था। अभी तक सूची में संख्यात्मक रूप से इतना नीचे नहीं आया था।

@ डीपीवीसी सही। मैं ज्यादातर सोच रहा था कि इसे ठीक करने के लिए महत्वपूर्ण बदलाव (विशेष रूप से wrt इनलाइन कॉन्फ़िगरेशन) की आवश्यकता होगी, यानी, एक संस्करण कूद को मजबूर करना।

हमने MathJax वेरिएबल के माध्यम से कॉन्फ़िगरेशन की अनुमति देने के लिए जो बदलाव किए हैं, उन्हें बिना किसी छलांग के इसे शामिल करना संभव बनाना चाहिए। मुझे पूरा यकीन है कि मैं इसे पिछड़े संगतता के साथ और MathJax.js का एक अलग "सुरक्षित" संस्करण बनाए बिना कर सकता हूं। बेशक, विकास के दौरान कुछ ऐसा दिखाई दे सकता है जो काम में एक बंदर रिंच फेंक देगा; इसमें से कोई भी अभी तक लिखा या परीक्षण नहीं किया गया है।

मैथजेक्स को सुरक्षित बनाने के लिए +1। सुरक्षा चिंताओं के कारण उत्पादन में इस अच्छी लाइब्रेरी का उपयोग करने में सक्षम नहीं होना बहुत बुरा है।

इस मुद्दे पर कोई प्रगति? मैं प्रोग्रामिक रूप से मैथजेक्स को क्रोम एक्सटेंशन वाले पृष्ठों में इंजेक्ट करने की कोशिश कर रहा हूं, और अगर ईंट की दीवार कम से कम एक ठोस ठोस दीवार नहीं है तो मैं मार रहा हूं। जैसा कि emichael/texthings#4 में वर्णित है, अब मेरी सबसे बड़ी समस्या MathJax.js:265 के साथ है। मैं कॉलों को समाप्त करने में सक्षम था

new Function()

जैसा कि ऊपर वर्णित है, उन्हें आसानी से बंद करके, लेकिन मुझे कोई सुराग नहीं है कि eval या इनलाइन स्क्रिप्ट का उपयोग करके कैसे प्राप्त किया जाए।

संपादित करें: मैंने उपयोगकर्ता को सीएसपी में असुरक्षित-ईवल और असुरक्षित-इनलाइन जोड़ने का विकल्प दिया, लेकिन मैथजेक्स को एक सुरक्षित सीएसपी में लाने के लिए एक दीर्घकालिक फिक्स अच्छा होगा। :+1:

@emichael , हम अगली रिलीज़ (अगले महीने के लिए नियोजित) में बदलावों को शामिल करने की योजना बना रहे हैं, लेकिन मैंने उन्हें अभी तक नहीं बनाया है। एक कारण यह है कि मैंने इस पर ध्यान नहीं दिया कि आप वास्तव में इसका परीक्षण कैसे करते हैं (उस वातावरण को कैसे स्थापित करें जिसके लिए इसकी आवश्यकता है)। यदि आप मुझे यह सुझाव दे सकते हैं कि कहां देखना है या न्यूनतम परीक्षण वातावरण क्या हो सकता है, तो इससे मदद मिलेगी।

साथ ही, रन टाइम या संकलन समय पर होने वाले eval one के बारे में त्रुटि है? यही है, क्या यह तब होता है जब MathJax.js में केवल एक eval कॉल शामिल होता है, भले ही इसका कभी भी उपयोग न किया गया हो, या यह तब होता है जब वास्तव में eval का प्रयास किया जाता है? कल्पना के बारे में मेरे पढ़ने से पता चलता है कि यह एक रन-टाइम त्रुटि होनी चाहिए, जो मेरे लिए चीजों को बेहतर बनाएगी, लेकिन मुझे लगा कि आप इसका उत्तर जान सकते हैं।

यदि आपके पास एक परीक्षण सर्वर है, तो आप प्रतिक्रिया शीर्षलेखों में केवल सामग्री-सुरक्षा-नीति सेट कर सकते हैं। बस सुनिश्चित करें कि script-src में 'unsafe-eval' या 'unsafe-inline' शामिल नहीं है (GitHub अपने आप में एक अच्छा उदाहरण है)। यदि आप नहीं करते हैं, तो आप हेडर को स्वयं इंजेक्ट करने के लिए बहुत कम क्रोम एक्सटेंशन का उपयोग कर सकते हैं।

यह एक रनटाइम त्रुटि है।

धन्यवाद। में देखता हूँ में क्या कर सकता हूँ।

eval कमांड का उपयोग केवल इन-लाइन कॉन्फ़िगरेशन ब्लॉक को संसाधित करने के लिए किया जाता है (और उस मामले में वैश्विक चर को कैसे नियंत्रित किया जाता है, इसका परीक्षण करने के लिए एक प्रारंभिक है)। इनलाइन कॉन्फ़िगरेशन का उपयोग होने तक प्रारंभिक को बंद किया जा सकता है, और यदि आप इन-लाइन कॉन्फ़िगरेशन का उपयोग करने से बचते हैं, तो उसे इसका ध्यान रखना चाहिए। v2.3 में हमने eval (इस समस्या को हल करने की तैयारी में) के बिना इन-लाइन कॉन्फ़िगरेशन करने का एक नया तरीका जोड़ा है, ताकि आप अभी भी eval कॉल को ट्रिगर किए बिना HTML फ़ाइलों के भीतर MathJax कॉन्फ़िगरेशन शामिल कर सकें।

ठीक है, मैंने एक पैच बनाया है जो new Function() और eval() कॉल को हटा देता है। यह नवीनतम विकास शाखा पर आधारित है, लेकिन f220993 में सूचीबद्ध परिवर्तन MathJax.js की मास्टर कॉपी में भी किए जाने में सक्षम होना चाहिए, यदि आपको ऐसा करने की आवश्यकता है। आपको इन-लाइन शैलियों की अनुमति देने की आवश्यकता है (वास्तव में इसके आसपास कोई नहीं है)। about:blank का एक फ़ॉन्ट संदर्भ भी है ताकि MathJax एक लापता फ़ॉन्ट (नेटवर्क एक्सेस किए बिना) की प्रतिक्रिया का परीक्षण कर सके, इसलिए आप about: को font-src में जोड़ना चाह सकते हैं

अच्छा! मैं देख सकता हूं कि शैलियों के लिए आपको निश्चित रूप से 'unsafe-inline' की आवश्यकता क्यों है।

जहां तक script-src 'unsafe-inline' अनुमति की बात है, अगर मैं आपको सही ढंग से समझता हूं, तो स्क्रिप्ट केवल इन-लाइन होती हैं जब उपयोगकर्ता इनलाइन मैथजैक्स कॉन्फ़िगरेशन को शुरू करने के लिए शामिल करता है। यह ठीक रहेगा, क्योंकि सब कुछ अभी भी 'unsafe-inline' के बिना 'unsafe-inline' script-src काम कर सकता है। हालांकि, दस्तावेज़ों में इसका उल्लेख किया जाना चाहिए।

इनलाइन स्क्रिप्ट के बारे में आपकी समझ सही है। जब तक आप इन-लाइन कॉन्फ़िगरेशन ब्लॉक का उपयोग नहीं कर रहे हैं, तब तक आपको script-src 'unsafe-inline' की आवश्यकता नहीं है, जिसका आपको उपयोग करने की आवश्यकता नहीं है। आप या तो स्थानीय MathJax कॉन्फ़िगरेशन फ़ाइल का उपयोग कर सकते हैं ( config= में जोड़ा गया) या आप एक सामान्य स्क्रिप्ट फ़ाइल का उपयोग कर सकते हैं जो MathJax चर को उस ऑब्जेक्ट पर सेट करती है जिसे आप सामान्य रूप से MathJax.Hub.Config() पर पास करेंगे

var MathJax = {
  tex2jax: {
    inlineMath: [['$','$'],['\\(','\\)']],
    procesEscapes: true
  }
};

mathjax-config.js नामक फ़ाइल में और फिर

<script src="mathjax-config.js"></script>
<script src="http://cdn.mathjax.org/mathjax/latest/MathJax.js?config=TeX-AMS_HTML"></script>

मुझे आशा है कि यह आपकी आवश्यकताओं का ख्याल रखता है।

यह वास्तव में करता है। तुरत ठीक करने के लिए शुक्रिया!!

यहां कुछ ऐसे हैं जो कहेंगे कि यह सब इतना तेज़ नहीं था (मुद्दा दो साल से खुला है!), लेकिन मैंने इसे अगली रिलीज के लिए चिह्नित किया था, और वैसे भी बस नीचे उतर रहा था, इसलिए आपकी टिप्पणी आई उपयुक्त समय।

=> विलय।

तो क्या किसी ने जीथब से अभी तक मैथजैक्स की अनुमति देने के लिए कहा है? एक dotjs फ़ाइल लिखना अभी भी संभव नहीं है जो मुझे जीथब मुद्दों में टेक्स लिखने देता है ताकि मैथजैक्स के साथ प्रस्तुत किया जा सके ...

(यहां उदाहरण - http://stackoverflow.com/questions/16889421/how-to-insert-javascript-to-enable-mathjax-on-github-wiki-pages - विफल रहता है।)

नमस्ते,

मैं वर्तमान में जीथब पृष्ठों पर एक जेकिल साइट की मेजबानी कर रहा हूं और इस आलेख का अनुसरण कर रहा हूं, और मेरी फ़ाइल में निम्नलिखित को जोड़ा है:

<script type="text/javascript"
  src="//cdn.mathjax.org/mathjax/latest/MathJax.js?config=TeX-AMS-MML_HTMLorMML">
</script>

जो https या http के साथ काम करने वाला है। हालांकि, जब तक आप असुरक्षित स्क्रिप्ट को अनुमति देने के लिए क्लिक नहीं करते हैं, तब तक हर जगह https वाले ब्राउज़र पर मेरे ब्लॉग को लोड करते समय यह गड़बड़ दिखता है। मैं इसे कैसे ठीक करूं?

@silky विशिष्ट AFAWK कुछ भी नहीं। क्लाइंट-साइड की संभावना नहीं है, मुझे लगता है, लेकिन मैथजैक्स-नोड एक उत्पादक विकल्प प्रदान कर सकता है।

@diego898 सामान्य प्रश्न http://groups.google.com/forum/#!forum/mathjax -users पर बेहतर ढंग से फिट होते हैं; हमेशा एक लाइव पेज, ब्राउज़र और ओएस विशिष्टताओं आदि के लिए एक लिंक शामिल करें। धन्यवाद।

@pkra मैं समझता हूं कि मुझे यकीन नहीं था कि यह इस मुद्दे से संबंधित बग था, या मेरे हिस्से पर कॉन्फ़िगरेशन समस्या थी

@diego898 कोई बात नहीं। आप जो वर्णन करते हैं वह ऐसा नहीं लगता कि यह इस मुद्दे से संबंधित है।

मैं अभी भी इस मुद्दे को देख रहा हूं। https://github.com/mathjax/MathJax/issues/1988 देखें।

@कौशलमोदी , समस्या से बचने के तरीके के बारे में ऊपर मेरी टिप्पणी देखें, या जिस मुद्दे से आप लिंक करते हैं उस पर मेरी टिप्पणी देखें। यदि आप एक सीएसपी का उपयोग कर रहे हैं जो स्क्रिप्ट निष्पादन को प्रतिबंधित करता है, तो आपको मैथजैक्स को कॉन्फ़िगर करने के तरीके को बदलना होगा।

क्या (2) मूल मुद्दे में कभी हल किया गया था? ऐसा लगता है कि मैथजैक्स v3 अभी भी सम्मिलित है