Etherpad-lite: प्रश्न: ईथरपैड के लिए सुरक्षित करने के लिए क्या सीएसपी हेडर जोड़ना है

को निर्मित 9 दिस॰ 2016 · 7टिप्पणियाँ · स्रोत: ether/etherpad-lite

नमस्ते,
मैं वास्तव में सीएसपी को नहीं समझता इसलिए मैं अपने ईथरपैड इंस्टेंस के लिए सही सीएसपी कॉन्फ़िगरेशन लिखने में विफल रहता हूं। क्या यहां कोई मुझे उदाहरण दे सकता है कि ईथरपैड को काम करने के लिए क्या होना चाहिए लेकिन उस पर सुरक्षा में सुधार करना चाहिए?
मुझे लगता है कि जब ऐसे उदाहरण जोड़े जाते हैं तो यह दस्तावेज़ीकरण में सुधार कर सकता है।
बहुत - बहुत धन्यवाद।

Waiting on Testing wontfix

स्रोत

aswen

सभी 7 टिप्पणियाँ

[x] यह देखने के लिए देखें कि https://observatory.mozilla.org/analyze/video.etherpad.com के कौन से हिस्से हम ईथरपैड कोड बेस में कर सकते हैं w/ आउट हानिकारक उपयोगकर्ता अनुभव। इसका मतलब शायद सेटिंग्स में कुछ सामान डालना होगा।
[ ] बिट्स जो हम नहीं कर सकते हमें दस्तावेज़ करना चाहिए

Video.etherpad.com पर नोट परिणाम हैं

JohnMcLear 8 अप्रैल 2020

👍1

एक साधारण npm install ep_helmet या प्लगइन इंस्टॉलेशन UI के माध्यम से ep_helmet इंस्टॉल करें, आपको वेधशाला पर https://observatory.mozilla.org/analyze/video.etherpad.com

इस मुद्दे का दायरा "क्या सीएसपी हेडर" था, लेकिन मैं थोड़ा स्पर्शरेखा पर चला गया और हमलावरों के लिए उपलब्ध हेडर से संबंधित कई और कारनामों को कवर करने का फैसला किया। यह सुरक्षा बढ़ाने के लिए व्यवस्थापक को "एक क्लिक" समाधान देता है।

यह अभी तक सही CSP हेडर के प्रश्न को "ठीक" नहीं करता है। SO MUCH इनलाइन JS होने के कारण सामान्य रूप से CSP ईथरपैड में लागू करने के लिए एक कुतिया है। इतना धिक्कार है। और यह गतिशील है इसलिए मुझे गैर-दृष्टिकोण अपनाने की जरूरत है और इसका मतलब है कि बहुत सारी फाइलों को छूना। मुझे यकीन भी नहीं है कि यह संभव है, लेकिन मैं इस पर कुछ और घंटे बिताने की कोशिश करने जा रहा हूं और देखूंगा कि मुझे कहां जाना है। यह प्रयास के लायक है, भले ही यह पुष्टि करता है कि हमें जावास्क्रिप्ट को HTML फ़ाइलों से बाहर ले जाने की आवश्यकता है। इम्हो असुरक्षित-इवल और असुरक्षित-इनलाइन 2 सबसे बड़े वैक्टर हैं जो संबोधित करने के प्रयास के लायक हैं .. शायद कल ..

https://github.com/johnmclear/ep_helmet

JohnMcLear 26 अप्रैल 2020

🚀1

ओके कूल और अब सीएसपी के लिए एक मर्ज अनुरोध है और मैं एक अपडेटेड हेलमेट प्रकाशित करने जा रहा हूं।

JohnMcLear 27 अप्रैल 2020

🎉1

समीक्षा के लिए @muxator पर प्रतीक्षा कर रहा है।

JohnMcLear 1 जुल॰ 2020

मेरे फिक्स बीटीडब्ल्यू के साथ मेरी चिंता यह है कि प्लगइन्स अक्सर इनलाइन जेएस का उपयोग करते हैं, इसलिए यदि आप सख्त सीएसपी नीति सक्षम करते हैं तो इसका मतलब होगा कि उनमें से कुछ काम नहीं करेंगे

JohnMcLear 1 जुल॰ 2020

मैंने आज रिबेट किया। यह पीआर इतना शामिल है कि मैं इसे खुद मर्ज नहीं करना चाहता।

पीआर सिर्फ गैर को संभालता है, यह इनलाइनजेएस मुद्दों को ठीक करने के लिए बहुत अच्छा नहीं है लेकिन अधिकांश npm install ep_helmet दिन बचाता है :)

JohnMcLear 17 जुल॰ 2020

इस समस्या को स्वचालित रूप से पुराना के रूप में चिह्नित कर दिया गया है क्योंकि इसमें हाल की गतिविधि नहीं है। आगे कोई गतिविधि नहीं होने पर इसे बंद कर दिया जाएगा। आपके योगदानों के लिए धन्यवाद।

stale[bot] 15 सित॰ 2020

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Etherpad-lite: प्रश्न: ईथरपैड के लिए सुरक्षित करने के लिए क्या सीएसपी हेडर जोड़ना है

सभी 7 टिप्पणियाँ

संबंधित मुद्दों