Handlebars.js: Манифест расширения Chrome v2 ограничивает использование eval

Это унаследовано от конструкции фреймворка. Если вы работаете в среде, в которой нельзя использовать динамически сгенерированный javascript, вам необходимо предварительно скомпилировать свои шаблоны и включить сгенерированный вывод в свой пакет.

Меня это беспокоит. Вот цитата со страницы Google:

«Однако мы понимаем, что множество библиотек используют eval () и конструкции, подобные eval, такие как new Function () для оптимизации производительности и простоты выражения. Библиотеки шаблонов особенно склонны к такому стилю реализации. _ Хотя некоторые (например, Angular .js) прямо из коробки поддерживают CSP, _ многие популярные фреймворки еще не обновлены до механизма, совместимого с миром без оценки расширений. Поэтому удаление поддержки этой функциональности оказалось для разработчиков более проблематичным, чем ожидалось ».

Итак, некоторые системы шаблонов могут быть CSP-совместимыми, но не Handlebars? Итак, теперь, когда я использовал Handlebars в своем проекте, я остановился на двух вариантах, чтобы мое приложение было совместимо с CSP:

1) Вырвать руль
2) Предварительно скомпилируйте все мои шаблоны.

Учитывая динамический характер моих шаблонов, предварительная компиляция невозможна. Итак, теперь мне приходится выдирать руль, потому что этот дефект устранен.

Разве здесь нельзя следовать руководству CSP?

"Вы можете разрешить это, добавив 'unsafe-eval' в свой список источников"

Это в основном сводит на нет весь смысл использования CSP для предотвращения инъекций.

FWIW, Cloudant (на основе Apache CouchDB) недавно изменили обработку сценариев в базе данных, чтобы также предотвратить eval() и new Function() https://console.bluemix.net/docs/services/Cloudant/release_info /deprecations.html#disabled -javascript-constructors

Предварительная компиляция шаблонов в JS работает для некоторых сценариев, но не для всех. Было бы здорово, если бы были другие варианты, чтобы Handlebars.js можно было использовать в большем количестве мест.

Но ... это могло быть просто принятием желаемого за действительное. : smiley: 💭