Sweetalert: सामग्री सुरक्षा नीति संगतता

को निर्मित 11 अक्तू॰ 2018 · 8टिप्पणियाँ · स्रोत: t4t5/sweetalert

अपने प्रोजेक्ट में मैंने निम्नलिखित मेटा टैग दिया है (जैसा कि स्क्रीनशॉट में दिखाया गया है):

<meta http-equiv="Content-Security-Policy" content="default-src http:">

जब मैं पृष्ठ लोड करता हूं तो मुझे अपने कंसोल में निम्न त्रुटियां मिलती हैं:

किसी को भी पहले इस मुद्दे का सामना करना पड़ा?

इसके अलावा बीटीडब्ल्यू मेरी जेएस फ़ाइल का नाम Sweetalert.min.js है लेकिन फ़ाइल सामग्री में असीमित जेएस है!

स्रोत

adhip94

सबसे उपयोगी टिप्पणी

वर्कअराउंड हैश को अपने Content-Security-Policy हेडर में जोड़ना है।

कुछ इस तरह

style-src 'self' 'sha256-47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=' 'sha256-wTr/bct+DGhJCU0mVZOm9Z1v99oBZrIu4VCMYQJWdfI=';

आदर्श नहीं है लेकिन यह unsafe-inline से बेहतर है। समस्या यह है कि यदि फ़ाइलें बदलती हैं, तो हैश अब मेल नहीं खाएंगे और ब्राउज़र उन्हें अस्वीकार कर देगा।

आदर्श स्थिति सीएसएस को अपनी फाइल में निकालने और इसे सीडीएन पर होस्ट करने की होगी। इस तरह हम फाइल को व्हाइट लिस्ट कर सकते हैं।

yarrgh 8 जुल॰ 2019

👍3

सभी 8 टिप्पणियाँ

आपको style-src निर्देश को समायोजित करने के लिए सामग्री-सुरक्षा-नीति मान को अपडेट करने की आवश्यकता है जिसमें इंजेक्शन वाली इनलाइन शैलियों को निष्पादित करने के लिए 'असुरक्षित-इनलाइन' (चारों ओर उद्धृत करने के लिए सावधान) होना चाहिए।

maksbd19 13 अक्तू॰ 2018

👎1

डेवलपर्स को सीएसएस के लिए unsafe-inline नीति का उपयोग करने के लिए मजबूर करना निश्चित रूप से आदर्श नहीं है। हमें शायद इससे निपटने का कोई बेहतर तरीका खोजना चाहिए।

t4t5 27 अक्तू॰ 2018

एक तरीका यह है कि अपने कोड के अंदर सीएसएस फ़ाइल को आयात न करें और इसे एक अलग फ़ाइल के रूप में उपलब्ध कराएं जिसे डेवलपर कोड के भीतर आयात किया जा सकता है। कुछ इस तरह
import 'sweetalert/sweetalert.css
इस तरह यह सुनिश्चित करने के लिए डेवलपर की जिम्मेदारी होगी कि यह सीएसपी का उल्लंघन नहीं करता है

kikoanis 15 दिस॰ 2018

👎2

सीएसएस फ़ाइल कहां है (जब तक सीएसएस उसी डोमेन पर रहता है) से इसका (लगभग) कोई लेना-देना नहीं है। Sweetalert _injects_ इनलाइन CSS , जो किसी भी CSP के लायक होने की अनुमति नहीं देगा जब तक कि कोई गैर/हैश मान न हो। यह मुझे आज सुबह दर्द का कोई अंत नहीं कर रहा है; मुझे इसे अपने प्रोजेक्ट से अनवायर करना पड़ सकता है, जो शर्म की बात है, क्योंकि मैं वास्तव में इसे (डी) पसंद करता हूं।

kvn1234 14 फ़र॰ 2019

क्या इस पर कोई अपडेट आया है? मुझे भी वही समस्या हो रही है; बस सोच रहा था कि इससे बचने का सबसे अच्छा तरीका क्या है?

sleepingMantis 1 मई 2019

वर्कअराउंड हैश को अपने Content-Security-Policy हेडर में जोड़ना है।

कुछ इस तरह

style-src 'self' 'sha256-47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=' 'sha256-wTr/bct+DGhJCU0mVZOm9Z1v99oBZrIu4VCMYQJWdfI=';

yarrgh 8 जुल॰ 2019

👍3

सीएसएस फ़ाइल कहां है (जब तक सीएसएस उसी डोमेन पर रहता है) से इसका (लगभग) कोई लेना-देना नहीं है। Sweetalert _injects_ इनलाइन CSS , जो किसी भी CSP के लायक होने की अनुमति नहीं देगा जब तक कि कोई गैर/हैश मान न हो। यह मुझे आज सुबह दर्द का कोई अंत नहीं कर रहा है; मुझे इसे अपने प्रोजेक्ट से अनवायर करना पड़ सकता है, जो शर्म की बात है, क्योंकि मैं वास्तव में इसे (डी) पसंद करता हूं।

मेरा भी यही विचार है।

rbcabreraUPM 15 अक्तू॰ 2019

मैं क्रोम में Sweetalert.min.js से दो इनलाइन स्टाइल हैश प्राप्त कर सकता हूं। सीएसपी हेडर में जोड़े जाने पर, क्रोम अब शिकायत नहीं करता है।
लेकिन फ़ायरफ़ॉक्स और सफारी अभी भी शिकायत करते हैं, और मुझे उचित हैश नहीं मिल रहा है। ये ब्राउज़र कोई संकेत नहीं देते हैं।
फ़ायरफ़ॉक्स: Content Security Policy: The page’s settings blocked the loading of a resource at inline (“style-src”)
सफारी: Refused to apply a stylesheet because its hash, its nonce, or 'unsafe-inline' does not appear in the style-src directive of the Content Security Policy.

Janaka-Steph 26 मई 2020

👍1

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Sweetalert: सामग्री सुरक्षा नीति संगतता

सबसे उपयोगी टिप्पणी

सभी 8 टिप्पणियाँ

संबंधित मुद्दों