Freecodecamp: Chrome에서 iframe에 오류 메시지 표시-비정상적인 코드 감지

에 만든 2017년 03월 04일 · 72코멘트 · 출처: freeCodeCamp/freeCodeCamp

최신 정보

문제를 해결하는 동안 Firefox를 사용하십시오. 불편을 끼쳐 드린 것에 대해 죄송합니다.

질문 양식에 제출 버튼을 추가하는 데 문제가 있습니다.
사용자 에이전트 : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) <strong i="11">Chrome/57.0.2987.88</strong> Safari/537.36 .

_ 설명을 위해 @systimotic이 편집 한 설명 _
전화기 프레임에 경고가 표시됩니다. "Chrome이이 페이지에서 비정상적인 코드를 감지하여 개인 정보 (예 : 비밀번호, 전화 번호, 신용 카드)를 보호하기 위해 차단했습니다."

screenshot

암호:

<link href="https://fonts.googleapis.com/css?family=Lobster" rel="stylesheet" type="text/css">
<style>
  .red-text {
    color: red;
  }

  h2 {
    font-family: Lobster, Monospace;
  }

  p {
    font-size: 16px;
    font-family: Monospace;
  }

  .thick-green-border {
    border-color: green;
    border-width: 10px;
    border-style: solid;
    border-radius: 50%;
  }

  .smaller-image {
    width: 100px;
  }
</style>

<h2 class="red-text">CatPhotoApp</h2>

<p>Click here for <a href="#">cat photos</a>.</p>

<a href="#"><img class="smaller-image thick-green-border" alt="A cute orange cat lying on its back. " src="https://bit.ly/fcc-relaxing-cat"></a>

<p>Things cats love:</p>
<ul>
  <li>cat nip</li>
  <li>laser pointers</li>
  <li>lasagna</li>
</ul>
<p>Top 3 things cats hate:</p>
<ol>
  <li>flea treatment</li>
  <li>thunder</li>
  <li>other cats</li>
</ol>
<form action="/submit">

</form>
<form action="/submit-cat-photo">
  <input type="text" placeholder="cat photo URL">
</form>

출처

natuan62

👍4 😕1

가장 유용한 댓글

베타 및 라이브 사이트 모두에서 Chrome 57로이를 재현 할 수 있습니다.

재현 가능한 버전은 57.0.2987.88입니다. 3 월 9 일 Chrome 출시 블로그 에서 :

Chrome 팀은 안정적인 채널 (Windows, Mac 및 Linux 용 57.0.2987.98)에 Chrome 57의 프로모션을 발표하게되어 기쁘게 생각합니다. 이것은 앞으로 며칠 / 주에 걸쳐 배포 될 것입니다.

오류:

XSS Auditor는 스크립트의 소스 코드가 내부에서 발견 되었기 때문에 ' https://www.freecodecamp.com/challenges/add-a-submit-button-to-a-form# ? solution = solution-here'에 대한 액세스를 차단했습니다. 요청. 감사자는 서버가 'X-XSS-Protection'헤더를 보내지 않았기 때문에 활성화되었습니다.

이것은 우리가 보는 오류가 실제로 Chrome 57에서 활성화 된 기능으로 인해 발생했음을 언급합니다.

경고는 iframe에 양식이 있으면 트리거되는 것 같습니다.
이 문제를 해결하는 방법에 대한 제안이 포함 된 StackOverflow 게시물이 있습니다.

Codepen이 이것을 어떻게 처리하는지 테스트했습니다. 거기에서 잘 작동합니다. 몇 가지 주목할만한 차이점 :

X-Frame-Options 는 Codepen에서 SAMEORIGIN ALLOWALL , fCC에서 SAMEORIGIN 입니다. 원인은 아닐 것 같지만 관련이있을 수 있습니다.
X-XSS-Protection 은 fCC에서 1; mode=block 이지만 Codepen에는 없습니다. 이것이 Codepen에서는 작동하지만 fCC에서는 작동하지 않는 이유라고 생각합니다.

/ cc @ freeCodeCamp / moderators 이것은 우리에게 매우 심각한 문제가 될 가능성이있는 것처럼 보이지만 확실하지 않습니다. 누구든지 조사를 도울 수 있습니까?

systimotic 에 2017년 03월 12일

👍4

모든 72 댓글

@ leekirby6 문제에 감사드립니다. 이 알림을 본 위치에 대한 자세한 정보를 제공 할 수 있습니까? 스크린 샷을 제공 할 수 있다면 도움이 될 수 있습니다. 페이지를 열 때 Chrome에서 알림을받지 못합니다. 감사!

erictleung 에 2017년 03월 04일

👍1

아, 스크린 샷 잊어 버렸습니다.
freecodecamp-error
Firefox를 사용할 때 아무 일도 일어나지 않습니다.

natuan62 에 2017년 03월 04일

Chrome 베타와 관련이있을 수 있습니다. # 12655를 참조하십시오. 안정적인 Chrome에서 잘 작동합니다. @ leekirby6 안정적인 Chrome으로 사용해 볼 수 있습니까?

szib 에 2017년 03월 04일

👍1

신뢰 해 주셔서 감사합니다. 안정보다는 베타 버전을 선호합니다.
나는 파이어 폭스를 사용했다!

natuan62 에 2017년 03월 04일

이 오류는 캠핑 객이 Chrome의 향후 버전에서이 문제를 볼 수 있음을 나타 냅니까? 이 경우 릴리스 전에이 문제를 해결해야합니다.

systimotic 에 2017년 03월 05일

베타 및 라이브 사이트 모두에서 Chrome 57로이를 재현 할 수 있습니다.

재현 가능한 버전은 57.0.2987.88입니다. 3 월 9 일 Chrome 출시 블로그 에서 :

Chrome 팀은 안정적인 채널 (Windows, Mac 및 Linux 용 57.0.2987.98)에 Chrome 57의 프로모션을 발표하게되어 기쁘게 생각합니다. 이것은 앞으로 며칠 / 주에 걸쳐 배포 될 것입니다.

오류:

XSS Auditor는 스크립트의 소스 코드가 내부에서 발견 되었기 때문에 ' https://www.freecodecamp.com/challenges/add-a-submit-button-to-a-form# ? solution = solution-here'에 대한 액세스를 차단했습니다. 요청. 감사자는 서버가 'X-XSS-Protection'헤더를 보내지 않았기 때문에 활성화되었습니다.

이것은 우리가 보는 오류가 실제로 Chrome 57에서 활성화 된 기능으로 인해 발생했음을 언급합니다.

경고는 iframe에 양식이 있으면 트리거되는 것 같습니다.
이 문제를 해결하는 방법에 대한 제안이 포함 된 StackOverflow 게시물이 있습니다.

Codepen이 이것을 어떻게 처리하는지 테스트했습니다. 거기에서 잘 작동합니다. 몇 가지 주목할만한 차이점 :

X-Frame-Options 는 Codepen에서 SAMEORIGIN ALLOWALL , fCC에서 SAMEORIGIN 입니다. 원인은 아닐 것 같지만 관련이있을 수 있습니다.
X-XSS-Protection 은 fCC에서 1; mode=block 이지만 Codepen에는 없습니다. 이것이 Codepen에서는 작동하지만 fCC에서는 작동하지 않는 이유라고 생각합니다.

systimotic 에 2017년 03월 12일

👍4

모든 사람의 관심을 끌게 해주셔서 @systimotic 감사합니다. 예-이것은 심각한 문제입니다. Google이이 업데이트를 출시하면 우리의 과제를 완전히 깨뜨릴 것입니다. 그래서 우리는이 문제를 최대한 빨리 고쳐야합니다.

이것에 대해 진전이 있었습니까?

@BerkeleyTrue 는 정말 빠르게 수정하고 프로덕션에 배포 할 수있는 것입니까, 아니면 이것을 위임 할 사람이 있습니까?

QuincyLarson 에 2017년 03월 13일

2017 년 3 월 13 일 월요일 오후 6:44, Quincy Larson [email protected]
썼다 :

@systimotic https://github.com/systimotic 가져와 주셔서 감사합니다
모두의 관심. 예-이것은 심각한 문제입니다. Google이 출시되는 경우
이 업데이트는 우리의 도전을 완전히 깨뜨릴 것입니다. 그래서 우리는 수정해야합니다
이 최대한 빨리.
이것에 대해 진전이 있었습니까?
@BerkeleyTrue https://github.com/BerkeleyTrue 는 당신이 뭔가입니다
실제로 빠르게 수정하여 프로덕션에 배포 할 수 있습니다. 아니면
위임해도 될까요?
—
이 스레드를 구독했기 때문에이 메시지가 전송되었습니다.
이 이메일에 직접 답장하고 GitHub에서 확인하세요.
https://github.com/freeCodeCamp/freeCodeCamp/issues/13727#issuecomment-286147082 ,
또는 스레드 음소거
https://github.com/notifications/unsubscribe-auth/AX9USGhYYpx9VbE14GEjc5ELIWUePYCaks5rlWRggaJpZM4MS57P
.

iansibindi 에 2017년 03월 13일

내 이론이 제대로 작동하면 백업 / 마스터에 대한 PR을 올릴 생각이 있습니다.

작동하면 스테이징을 위해 구현할 수 있습니다.

Bouncey 에 2017년 03월 13일

하지만 제발 다른 사람이 아이디어를 가지고 있다면 그 아이디어를 제거하세요.

이것은 중요한 문제인 것 같습니다.

Bouncey 에 2017년 03월 13일

@QuincyLarson @systimotic @Bouncey 살펴보면 ( @timo 의 링크에 따라) Chrome은 기본 동작 X-XSS-Protection: 1 을 X-XSS-Protection: 1; mode=block 합니다. 이것이하는 일은 페이지의 소스 코드가 요청 자체 (예 : 코드 URL) 내에있을 때 페이지가 실행되는 것을 완전히 차단하는 것입니다.

이전에 크롬의 기본 bahavior는 유해한 것으로 간주되는 스크립트 부분을 필터링하는 것이 었습니다. 크롬이 불평 할 특정 부분 (폼 액션 등)을 인코딩 한 다음 iframe에 삽입하기 전에 디코딩하여이 문제를 해결했습니다.

이제 기본 동작은 페이지를 완전히 차단합니다. 이것이 문제의 원인입니다 (나는 믿습니다).

Chrome canary를 다운로드했는데 ~ 문제를 복제 할 수 없습니다 (버전 59에 있음) ~ code-uri에 스크립트 태그를 추가하여 복제 할 수있었습니다.

BerkeleyTrue 에 2017년 03월 13일

수정은 X-XSS-PROTECTION 를 1 로 변경하는 것만 큼 간단 할 수 있습니다.

BerkeleyTrue 에 2017년 03월 13일

베타에서는 복제 할 수 없지만 프로덕션에서는 가능합니다.

Chrome 57은 이제 Ubuntu의 'Chrome 안정적인'입니다.

Bouncey 에 2017년 03월 13일

백업 / 마스터에서 로컬로 복제 할 수 없습니다.

Bouncey 에 2017년 03월 13일

서버 제어, 일부 html 및 JavaScript 코드를 통해 서버에 다시 게시하면 문제가 표시됩니다.

1cm 에 2017년 03월 16일

Chrome 버전 57.0.2987.110 (64 비트) Win10 64 비트에서 나에게 발생했습니다.

driftshift 에 2017년 03월 20일

모두들 안녕,

이것을 더 잘 이해하도록 도와주세요.

저는 소프트웨어 회사의 비즈니스 분석가입니다. 57.0.2987.98 Chrome 업데이트 후 '이 페이지가 작동하지 않습니다. Chrome이이 페이지에서 비정상적인 코드를 감지하여 개인 정보 (예 : 비밀번호, 전화 번호, 신용 카드)를 보호하기 위해 차단했습니다. . ERR_BLOCKED_BY_XSS_AUDITOR "-기본적으로 여기서 논의하는 내용입니다.

내 질문은 다음과 같습니다.

버그입니까, 기능입니까?
버그 인 경우-수정 될 때 정보를 어디서 얻을 수 있습니까?

이 오류로 고통받는 고객이 많으므로 Chrome 수정을 기다려야하는지 아니면 Google 측에서 수정을 구현해야하는지 이해해야합니다.

dimapct 에 2017년 03월 21일

@dimapct 이것은 Chrome이 아닌 FreeCodeCamp.com의 저장소입니다. 비즈니스 소프트웨어 및 Chrome과 관련된 질문은 Google이 아닌 Chrome 팀에 문의하세요.

BerkeleyTrue 에 2017년 03월 21일

안녕하세요.
Chrome 설정> 고급 설정> 위험한 사이트로부터 보호> 끄기
잠시 동안 나를 위해 일했다

udbhavs 에 2017년 03월 22일

👍1

방금이 버그 보고서를 보았습니다. 내 경험이 이것에 대해 약간의 빛을 비춰 줄지 궁금합니다.

우분투 포럼 ( 완벽하게 진실한 사이트)에 게시물을 작성할 때 Chrome은 자주 있지만 항상 그런 것은 아닙니다. "Preview Post"를 누르면이 오류가 발생합니다.

패턴을 찾으려고했지만 완전히 임의적 인 것 같습니다. Chrome에서 허용하는 일부 문구와 허용하지 않는 다른 문구를 입력 할 수 있지만 그 사이에 큰 차이는 없습니다. 예를 들어 Chrome에서 따옴표가있는 게시물을 차단하는 경우도 있고 그렇지 않은 경우도 있습니다.

Linux Ubuntu에서 Chrome 57 Stable (공식 Chrome 저장소에서)을 사용합니다.

( 잠시 동안 신경이 쓰 입니다!)

paddylandau 에 2017년 03월 27일

불행히도 @QuincyLarson 에서 제안한 솔루션이 저에게

그러나 추가 정보가 있습니다. 도움이되기를 바랍니다.

https://bugs.chromium.org/p/chromium/issues/detail?id=702542
https://bugs.chromium.org/p/chromium/issues/detail?id=706038
https://productforums.google.com/forum/#!msg/chrome/4MUJd75N4Jw/8uDOUMgrEQAJ

paddylandau 에 2017년 04월 04일

@paddylandau 감사합니다.

x-xss-protection 헤더를 csp에 명시 적으로 추가하여 문제가 해결 된 것 같습니다. 누구든지 이것을 테스트 할 시간이 있습니까?

BerkeleyTrue 에 2017년 04월 04일

이 헤더를 추가 할 때의 문제는 Chrome을 위해 보안이 감소한다는 것입니다. 나에게는 이상해 보인다.

paddylandau 에 2017년 04월 05일

실제로 헤더를 1로 설정하면 보안을 동일하게 유지하고 Chrome v57이 보안을 강화하지 못하게합니다. 유일한 실제 차이점은 v57이 v56 및 다른 브라우저가 지금까지 조용히 차단하는 일부 코드를 시끄럽게 차단한다는 것입니다.

darkporpoise 에 2017년 04월 05일

여전히이 문제가 발생합니다.

nvnellore 에 2017년 04월 07일

"양식 요소 만들기"에서이 문제가 계속 발생합니다.

Rogerup 에 2017년 04월 10일

이 문제와 관련된 흥미로운 점은 다른 브라우저에서 강의를 완료하고 Chrome으로 돌아가 해당 강의의 "솔루션보기"를 수행하면 코드가 오류없이 읽히고 다음 강의를 계속할 수 있다는 것입니다. 이견있는 사람?

UnwrittenCanvas 에 2017년 04월 11일

2017 년 4 월 10 일 오전 10:21, "Rogerio Penchel" [email protected]
썼다 :

여전히이 문제가 발생합니다.

—
이 스레드를 구독했기 때문에이 메시지가 전송되었습니다.
이 이메일에 직접 답장하고 GitHub에서 확인하세요.
https://github.com/freeCodeCamp/freeCodeCamp/issues/13727#issuecomment-293018041 ,
또는 스레드 음소거
https://github.com/notifications/unsubscribe-auth/AV-9X3RBc4-MBzYNChdMp0_uZrywTADUks5rumUPgaJpZM4MS57P
.

Lurches 에 2017년 04월 11일

나는 이것을 firefox에서 실행했고 아무런 문제가 없었습니다.

nvnellore 에 2017년 04월 11일

@nvnellore 이는 Chromium 및 확장 기능으로 Chrome에만 적용됩니다. 다른 브라우저는이 문제를 제공하지 않습니다.

paddylandau 에 2017년 04월 11일

이 ERR_BLOCKED_BY_XSS_AUDITOR는꼬리표.<br/> 기본적으로 콘텐츠에 삽입 된 YouTube 클릭이 포함되어 있으면 ERR_BLOCKED_BY_XSS_AUDITOR가 표시됩니다.<br/> IE에서는 발생하지 않습니다. 프레임이있는 내용을 제거하면 안됩니다.