Handlebars.js: क्रोम एक्सटेंशन मेनिफेस्ट v2 eval . के उपयोग को प्रतिबंधित करता है

को निर्मित 25 फ़र॰ 2013 · 5टिप्पणियाँ · स्रोत: handlebars-lang/handlebars.js

मेनिफेस्ट_वर्जन के साथ क्रोम एक्सटेंशन में हैंडलबार काम नहीं करेंगे: 2 एक नई सुरक्षा नीति के कारण जो eval और eval- जैसे सिंटैक्स के उपयोग को प्रतिबंधित करती है।

ध्यान में न आया EvalError: जावास्क्रिप्ट के रूप में एक स्ट्रिंग का मूल्यांकन करने से इंकार कर दिया क्योंकि 'असुरक्षित-eval' निम्नलिखित सामग्री सुरक्षा नीति निर्देश में स्क्रिप्ट का एक अनुमत स्रोत नहीं है: "स्क्रिप्ट-src 'स्व' क्रोम-एक्सटेंशन-संसाधन:"।
हैंडलबार.जेएस:1402
JavaScriptCompiler.createFunctionContext handlebars.js:1402
JavaScriptCompiler.compile handlebars.js:1320
कंपाइल हैंडलबार्स.जेएस:2105
(गुमनाम फ़ंक्शन) हैंडलबार्स.जेएस:2112
(अनाम समारोह) पैनल.जेएस:14 <--- मेरी स्क्रिप्ट Handlebars.compile() कहा जाता है

स्रोत

asgraf

सबसे उपयोगी टिप्पणी

यह मूल रूप से इंजेक्शन को रोकने के लिए सीएसपी का उपयोग करने के पूरे बिंदु को हरा देता है।

rsrsps 19 मार्च 2015

👍2

सभी 5 टिप्पणियाँ

यह ढांचे के डिजाइन के लिए विरासत में मिला है। यदि आप ऐसे वातावरण में चल रहे हैं जहां आप गतिशील रूप से जेनरेट किए गए जावास्क्रिप्ट का उपयोग नहीं कर सकते हैं तो आपको अपने टेम्पलेट्स को प्रीकंपाइल करना होगा और जेनरेट किए गए आउटपुट को अपने पैकेज के साथ शामिल करना होगा।

kpdecker 25 फ़र॰ 2013

यह मुझे परेशान कर रहा है। यहाँ Google पृष्ठ से एक उद्धरण है:

"हालांकि, हम मानते हैं कि विभिन्न प्रकार के पुस्तकालय प्रदर्शन अनुकूलन और अभिव्यक्ति में आसानी के लिए eval() और eval- जैसे निर्माणों का उपयोग करते हैं जैसे कि new Function()। टेम्प्लेटिंग लाइब्रेरी विशेष रूप से कार्यान्वयन की इस शैली के लिए प्रवण होती हैं। _जबकि कुछ (जैसे कोणीय) .js) लीक से हटकर CSP का समर्थन करते हैं,_ कई लोकप्रिय फ़्रेमवर्क अभी तक ऐसे तंत्र में अपडेट नहीं हुए हैं जो एक्सटेंशन की eval-less दुनिया के साथ संगत है। इसलिए उस कार्यक्षमता के लिए समर्थन को हटाना डेवलपर्स के लिए अपेक्षा से अधिक समस्याग्रस्त साबित हुआ है।"

तो, कुछ टेम्पलेट सिस्टम सीएसपी-अनुपालन होने का प्रबंधन कर सकते हैं, लेकिन हैंडलबार नहीं? तो, अब जब मैंने अपने प्रोजेक्ट में हैंडलबार्स का उपयोग किया है, तो मैं अपना ऐप सीएसपी-अनुपालन प्राप्त करने के लिए 2 विकल्पों के साथ फंस गया हूं:

1) हैंडलबार्स को रिप आउट करें
2) मेरे सभी टेम्प्लेट को प्री-कंपाइल करें।

मेरे टेम्पलेट्स की गतिशील प्रकृति को देखते हुए, प्री-कंपाइल एक विकल्प नहीं है। तो, अब मुझे हैंडलबार्स को तोड़ना होगा क्योंकि यह दोष बंद हो गया है।

ghost 1 अप्रैल 2014

👍2

क्या यहां सीएसपी गाइड का पालन करना संभव नहीं है?

"आप अपनी स्रोत सूची में 'असुरक्षित-eval' जोड़कर इसकी अनुमति दे सकते हैं"

georgefrick 2 अप्रैल 2014

rsrsps 19 मार्च 2015

👍2

FWIW, Cloudant (अपाचे CouchDB पर आधारित) ने हाल ही में eval() और new Function() https://console.bluemix.net/docs/services/Cloudant/release_info को रोकने के लिए अपने इन-डेटाबेस स्क्रिप्ट प्रोसेसिंग को बदल दिया है।

जेएस में प्रीकंपाइलिंग टेम्प्लेट कुछ परिदृश्यों के लिए काम करता है, लेकिन उन सभी के लिए नहीं। यह बहुत अच्छा होगा यदि अन्य विकल्प हों, ताकि Handlebars.js का अधिक स्थानों पर उपयोग किया जा सके।

लेकिन...यह सिर्फ इच्छाधारी सोच हो सकती है। :स्माइली:

BigBlueHat 5 फ़र॰ 2018

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Handlebars.js: क्रोम एक्सटेंशन मेनिफेस्ट v2 eval . के उपयोग को प्रतिबंधित करता है

सबसे उपयोगी टिप्पणी

सभी 5 टिप्पणियाँ

संबंधित मुद्दों