Handlebars.js: Chrome 확장 프로그램 매니페스트 v2는 eval 사용을 제한합니다.

이것은 프레임워크의 디자인을 계승합니다. 동적으로 생성된 자바스크립트를 사용할 수 없는 환경에서 실행 중인 경우 템플릿을 미리 컴파일하고 생성된 출력을 패키지에 포함해야 합니다.

이것은 나에게 문제가 된다. 다음은 Google 페이지의 인용문입니다.

"그러나 우리는 다양한 라이브러리가 성능 최적화와 표현의 용이성을 위해 eval() 및 new Function()과 같은 eval과 유사한 구조를 사용한다는 것을 알고 있습니다. 템플릿 라이브러리는 특히 이러한 구현 스타일에 취약합니다. _일부 라이브러리(예: Angular .js) CSP를 즉시 지원합니다._ 많은 인기 있는 프레임워크가 아직 확장 기능의 평가가 없는 세계와 호환되는 메커니즘으로 업데이트되지 않았습니다. 따라서 해당 기능에 대한 지원을 제거하는 것은 개발자에게 예상보다 문제가 더 많은 것으로 판명되었습니다."

따라서 일부 템플릿 시스템은 CSP 규격으로 관리할 수 있지만 핸들바는 관리할 수 없습니까? 이제 내 프로젝트에서 Handlebars를 사용했기 때문에 앱 CSP 호환을 위해 2가지 선택을 해야 합니다.

1) 핸들바 뜯어내기
2) 모든 템플릿을 미리 컴파일합니다.

내 템플릿의 동적 특성을 감안할 때 사전 컴파일은 옵션이 아닙니다. 이제 이 결함이 닫혔기 때문에 핸들바를 뜯어내야 합니다.

여기에서 CSP 가이드를 따를 수 없나요?

"소스 목록에 'unsafe-eval'을 추가하여 허용할 수 있습니다."

그것은 기본적으로 주입을 방지하기 위해 CSP를 사용하는 요점을 무효화합니다.

FWIW, Cloudant(Apache CouchDB 기반)는 최근 eval() 및 new Function() https://console.bluemix.net/docs/services/Cloudant/release_info를 방지하기 위해 데이터베이스 내 스크립트 처리를 변경했습니다.

템플릿을 JS로 미리 컴파일하는 것은 일부 시나리오에서 작동하지만 모든 시나리오에서는 작동하지 않습니다. Handlebars.js를 더 많은 곳에서 사용할 수 있도록 다른 옵션이 있으면 좋을 것입니다.

하지만...그건 단지 희망사항일 수도 있습니다. :스마일리: 💭