Impossibile far funzionare il tag script nel plugin delle landing page a causa di content-security-policy

[TheNab]

il tag dello script js inline non viene caricato a causa di csp e non so come risolvere.

[awesomerobot (Kris)]

Ci sono alcune informazioni in questo post che potrebbero aiutare: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP e integrazioni di terze parti

Quando si utilizzano servizi di terze parti come Google Tag Manager, Google Analytics o servizi pubblicitari, potrebbe essere necessario modificare le impostazioni CSP. Nella maggior parte dei casi, con Discourse versione 3.3.0.beta1 o successive, gli script esterni dovrebbero funzionare senza configurazione aggiuntiva grazie all’implementazione CSP ‘strict-dynamic’.

Se si riscontrano problemi, potrebbe essere necessario:

1. Identificare le origini script richieste monitorando la console del browser
2. Aggiungere le origini necessarie all’impostazione content_security_policy_script_src
3. Per integrazioni complesse come i servizi pubblicitari che caricano risorse esterne, potrebbe essere necessario abilitare il rendering cross-domain (Esempio PR da discourse-adplugin che fa questo).

Buone pratiche

1. Iniziare con la modalità CSP Report-Only per identificare potenziali problemi
2. Restringere gradualmente la CSP man mano che si risolvono violazioni legittime
3. Rivedere regolarmente le impostazioni CSP e apportare modifiche secondo necessità
4. Prestare attenzione quando si aggiungono direttive permissive come 'unsafe-eval' o 'wasm-unsafe-eval'
5. Mantenere aggiornata l’istanza di Discourse per beneficiare dei più recenti miglioramenti CSP

[TheNab]

Ho letto quello e altri, ma non riesco a capire come aggiungere l’eccezione a content_security_policy_script_src

[awesomerobot (Kris)]

Vedi un errore relativo allo script nella console del tuo browser? qualcosa del genere?

Dovrai aggiungere l’hash fornito ('sha256-xxxxx') all’impostazione “content security policy script src” che si trova in admin > tutte le impostazioni del sito.

[TheNab]

L’errore che stavo ricevendo aveva nonce-s0m3h4sh nel browser Firefox, non stavo ricevendo sha256-s0m3h4sh. Ma quando l’ho appena controllato su Chrome, era quello sha256.