Pdf.js: टेक्स्ट लेयर स्टाइल माइक्रो-ऑप्टिमाइज़ेशन के परिणामस्वरूप सामग्री सुरक्षा नीति में स्टाइल-src 'असुरक्षित-इनलाइन' की आवश्यकता होती है

को निर्मित 13 फ़र॰ 2017 · 11टिप्पणियाँ · स्रोत: mozilla/pdf.js

https://github.com/mozilla/pdf.js/commit/cb5f9df0c8932fe0db9f783ede7893b7efcadcdb ने स्टाइल स्ट्रिंग्स को स्वचालित रूप से जनरेट करना शुरू कर दिया, जो एक मानक सामग्री सुरक्षा नीति द्वारा निषिद्ध है। कमबैक करना अच्छा होगा या शायद दृष्टिकोण पर पुनर्विचार करें।

पुन: पेश करने के लिए, CSP में style-src 'self' का उपयोग करें:

    <meta http-equiv="Content-Security-Policy" content="style-src 'self'" />

2-performance 4-text-selection

स्रोत

thestinger

👍6

सबसे उपयोगी टिप्पणी

यदि कोई और इस पर आता है और समाधान चाहता है, तो यह मेरा वर्तमान पैच है जो इसे वापस करने के पुराने तरीके से रोल कर रहा है ताकि style-src: 'unsafe-inline' से बचा जा सके:

https://github.com/GrapheneOS/pdf.js/commit/021d2fddb03883054ef4399d1d3df87e0c6ab9ca

इसे निश्चित रूप से थोड़ा सा अनुकूलित किया जा सकता है, लेकिन चूंकि यह मेरे उपयोग के लिए कोई मायने नहीं रखता है, इसलिए मैं रखरखाव में आसानी के लिए पैच को यथासंभव न्यूनतम रख रहा हूं। मुझे लगता है कि किसी ऐसे व्यक्ति से अपेक्षा करना जो प्रदर्शन को अनुकूलित करने की परवाह करने के लिए इस सुरक्षा समस्या को ठीक करना चाहता है, थोड़ा पीछे है। प्रदर्शन अनुकूलन को बुनियादी सुरक्षा स्वच्छता को तोड़े बिना क्या किया जा सकता है, इसके लिए विवश होना चाहिए था। जैसा कि मैंने ऊपर उल्लेख किया है, इसे अलग तरीके से संपर्क करना और भी तेज़ हो सकता है। अनुकूलन के लिए प्रतिबद्ध संदेश में उल्लेख किया गया है कि किसी अंतर को मापना कितना मुश्किल था, लेकिन सुरक्षा प्रतिगमन काफी आसानी से मापा जाता है।

सबसे पहले मैं pdf.js का उपयोग करने का कारण सुरक्षा है। यह मेमोरी सेफ लैंग्वेज (जावास्क्रिप्ट) में सभी पीडीएफ-विशिष्ट रेंडरिंग के साथ हार्ड्ड/सैंडबॉक्स्ड ब्राउजर रेंडरिंग का पुन: उपयोग करने की अनुमति देता है। ऐसा करने के हिस्से के रूप में, मैं गतिशील कोड/शैली इंजेक्शन को कम करने के लिए सीएसपी का उपयोग कर रहा हूं जो बड़े पैमाने पर हमले की सतह को एक वेब पेज की तरह बढ़ा सकता है, जो लक्ष्यों के बहुत विपरीत है। मुझे लगता है कि खतरनाक देशी पीडीएफ प्रतिपादन पुस्तकालयों से बचने के लिए पीडीएफ.जेएस के लिए कई अन्य लोगों के पास समान उपयोग केस है। unsafe-inline शैलियों से बचना यह सुनिश्चित करने का एक हिस्सा है कि बग गलती से मनमानी शैलियों को इंजेक्ट नहीं कर सकता है, जिससे बहुत सारे रेंडरर हमले की सतह खुल जाती है। उपयोग के मामले में जहां यह एक वास्तविक वेब साइट में एम्बेड किया गया है, यह और भी अधिक मायने रखता है, क्योंकि सीएसएस के साथ बहुत सी बुरी चीजें की जा सकती हैं।

मैं इसे उसी स्तर पर मानता हूं जैसे मूल बायनेरिज़/पुस्तकालयों में SSP, ASLR (PIE), _FORTIFY_SOURCE=2 , -fstack-clash-protection और अन्य आधारभूत शमन होने की अपेक्षा की जाती है। यह बुनियादी सुरक्षा स्वच्छता बनाम अधिक उन्नत चीजें हैं जैसे टाइप-आधारित सीएफआई, ट्रैपिंग इंटीजर सैनिटाइजर, शैडोकॉलस्टैक, आदि। जहां मैं उम्मीद करता हूं कि बड़ी परियोजनाएं इसके बारे में सोच रही होंगी और शायद पहले से ही इस पर काम कर रही हैं, लेकिन यह न्यूनतम का हिस्सा नहीं है। स्थिर जावास्क्रिप्ट/सीएसएस के साथ एक बुनियादी सीएसपी नीति मेरी राय में बुनियादी सुरक्षा स्वच्छता के रूप में योग्य है।

thestinger 16 अग॰ 2019

👍5

सभी 11 टिप्पणियाँ

... या शायद दृष्टिकोण पर पुनर्विचार करें।

पीआर #7632 विशेष रूप से enhanceTextSelection मोड के प्रदर्शन में सुधार के लिए आवश्यक था, जो कि अंक #7584 का हिस्सा है, इसलिए मेरी राय में मुझे नहीं लगता कि इसे वापस करने पर भी विचार किया जाना चाहिए।

Snuffleupagus 13 फ़र॰ 2017

मैं केवल इसे अनुकूलित करने के लिए अन्य मार्ग अपनाने का सुझाव दे रहा हूं। उदाहरण के लिए, 4 पैडिंग विशेषताओं का उपयोग क्यों करें और फिर उन्हें मर्ज करने के बजाय style साथ लागू करें?

thestinger 13 फ़र॰ 2017

style माध्यम से यह सब करने के बजाय व्यक्तिगत शैली गुणों को सेट करने के लिए स्थिर सरणी दृष्टिकोण का भी उपयोग कर सकता है। font-family और font-size संपत्तियों को padding तरह विलय किया जा सकता है।

thestinger 13 फ़र॰ 2017

मैं केवल इसे अनुकूलित करने के लिए अन्य मार्ग अपनाने का सुझाव दे रहा हूं। उदाहरण के लिए, 4 पैडिंग विशेषताओं का उपयोग क्यों करें और फिर उन्हें मर्ज करने के बजाय शैली के साथ लागू करें?

आम तौर पर इस बात की कोई गारंटी नहीं है कि किसी विशेष textDiv को enhanceTextSelection साथ अद्यतन किए गए सभी चार पैडिंग मानों की आवश्यकता है, और वर्तमान कोड ने उस (बहुत सामान्य) मामले को संभालने का एक आसान तरीका प्रदान किया है।

स्टाइल के माध्यम से यह सब करने के बजाय व्यक्तिगत शैली गुणों को सेट करने के लिए स्थिर सरणी दृष्टिकोण का भी उपयोग कर सकता है।

style का उपयोग करके एक बार में सब कुछ अपडेट करने के पीछे तर्क की सामान्य पंक्ति, textDiv s को बनाते/अपडेट करते समय अनावश्यक रूप से DOM को अमान्य करने से बचने का प्रयास करना था क्योंकि यह प्रमुख योगदानकर्ताओं में से एक प्रतीत होता था enhanceTextSelection मोड का खराब प्रदर्शन।

Snuffleupagus 13 फ़र॰ 2017

आम तौर पर इस बात की कोई गारंटी नहीं है कि किसी विशेष टेक्स्टडिव को एन्हांसटेक्स्ट चयन के साथ अद्यतन किए गए सभी चार पैडिंग मानों की आवश्यकता होती है, और वर्तमान कोड ने उस (बहुत सामान्य) मामले को संभालने का एक आसान तरीका प्रदान किया है।

इसका मतलब यह नहीं है कि padding कुशलतापूर्वक उपयोग नहीं किया जा सकता है। इसे उन हिस्सों के लिए नए तार बनाने की आवश्यकता नहीं है जो इसे अद्यतन नहीं कर रहे हैं और अंतिम परिणाम छोटा होगा। यह एकल style विशेषता सेट को एकल style.padding सेट से बदल सकता है और " 0 " का पुन: उपयोग किया जा सकता है।

शैली का उपयोग करते हुए एक बार में सब कुछ अपडेट करने के पीछे तर्क की सामान्य रेखा, टेक्स्टडिव्स को बनाते/अपडेट करते समय अनावश्यक रूप से डीओएम को अमान्य करने से बचने का प्रयास करना था क्योंकि यह एन्हांसटेक्स्ट चयन मोड के खराब प्रदर्शन के लिए प्रमुख योगदानकर्ताओं में से एक प्रतीत होता था।

क्या यह एक टुकड़े में नहीं हो रहा है, वास्तविक डोम नहीं?

thestinger 13 फ़र॰ 2017

इसका मतलब यह नहीं है कि पैडिंग का कुशलतापूर्वक उपयोग नहीं किया जा सकता है।

@thestinger सहमत हैं, अगर कुछ प्रदर्शन डेटा के साथ बेंचमार्क उपलब्ध थे तो यह समस्या को हल करने में मदद करेगा।

yurydelendik 13 फ़र॰ 2017

मैं वास्तव में यहां विभिन्न दृष्टिकोणों के बीच अंतर को मापने में सक्षम नहीं हूं। हालांकि विभिन्न दृष्टिकोणों को संदर्भ से बाहर माइक्रोबेंचमार्क किया जा सकता है।

मुझे लगता है कि unsafe-inline साथ संघर्ष को बिना किसी प्रदर्शन हानि के कम किया जा सकता है और फिर अनुकूलन को सशर्त बनाया जा सकता है यदि इसे रखना महत्वपूर्ण है।

मेरे लिए इस प्रतिबद्धता को वापस करना आसान है इसलिए यह मेरे लिए उच्च प्राथमिकता नहीं है लेकिन मैं इस पर काम करने के लिए किसी को ढूंढने का प्रयास करूंगा। सीएसपी सामग्री के लिए परीक्षण करना बहुत अच्छा होगा ताकि यह भविष्य में टूट न सके (इस तरह के अनुकूलन अभी भी महत्वपूर्ण हो सकते हैं, उन्हें केवल सशर्त होने की आवश्यकता होगी)।

thestinger 15 अप्रैल 2017

एक समाधान हो सकता है जो सीएसपी का उपयोग करने वाली वेबसाइटों का समर्थन करते समय अनुकूलन की अनुमति देता है।

इनलाइन शैली को एक स्ट्रिंग के रूप में सेट करने के तीन तरीके हैं:

element.setAttribute('style', someStyle) , जो तब काम नहीं करता जब कोई सीएसपी हो जो असुरक्षित-इनलाइन की अनुमति नहीं देता है
element.style = someStyle , जो IE में समर्थित नहीं है (IE 11 पर परीक्षण किया गया है, मैंने इसे एज पर परीक्षण नहीं किया है, इसलिए इसे वहां भी तोड़ा जा सकता है)
element.style.cssText = someStyle , जो DOM स्तर 2 के रूप में समर्थित है, इसलिए IE भी इसका समर्थन करता है (IE 11 पर सत्यापित)

तीन विधियों को दिखाने के लिए प्लंकर: https://plnkr.co/edit/T8xrUmR5eSuqDukSEVuw?p=preview

यदि आप इस समाधान पर सहमत हैं तो मैं element.setAttribute('style', ...) को element.style.cssText = ... बदलने के लिए एक पुल अनुरोध करने के लिए तैयार हूं।

bgotink 30 जुल॰ 2018

यह एक ब्राउज़र बग की तरह लगता है यदि element.style.cssText = someStyle बिना unsafe-eval काम करता है:

thestinger 17 अग॰ 2018

https://github.com/GrapheneOS/pdf.js/commit/021d2fddb03883054ef4399d1d3df87e0c6ab9ca

thestinger 16 अग॰ 2019

👍5

ऊपर पुल अनुरोध द्वारा तय किया गया।

timvandermeij 28 अग॰ 2019

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

सबसे उपयोगी टिप्पणी

सभी 11 टिप्पणियाँ

संबंधित मुद्दों