Script tag funktioniert nicht im landing pages plugin aufgrund der content-security-policy

[awesomerobot (Kris)]

Es gibt einige Informationen in diesem Beitrag, die hilfreich sein könnten: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP und Drittanbieter-Integrationen

Bei der Verwendung von Drittanbieterdiensten wie Google Tag Manager, Google Analytics oder Werbediensten müssen Sie möglicherweise Ihre CSP-Einstellungen anpassen. In den meisten Fällen mit Discourse Version 3.3.0.beta1 oder neuer sollten externe Skripte aufgrund der ‘strict-dynamic’ CSP-Implementierung ohne zusätzliche Konfiguration funktionieren.

Wenn Sie auf Probleme stoßen, müssen Sie möglicherweise:

1. Identifizieren Sie die erforderlichen Skriptquellen, indem Sie Ihre Browserkonsole überwachen
2. Fügen Sie die notwendigen Quellen zur Einstellung content_security_policy_script_src hinzu
3. Für komplexe Integrationen wie Werbedienste, die externe Ressourcen laden, müssen Sie möglicherweise Cross-Domain-Rendering aktivieren (Beispiel-PR von discourse-adplugin, der dies tut).

Best Practices

1. Beginnen Sie mit dem CSP Report-Only-Modus, um potenzielle Probleme zu identifizieren
2. Lockern Sie Ihre CSP schrittweise, während Sie legitime Verstöße beheben
3. Überprüfen Sie regelmäßig Ihre CSP-Einstellungen und passen Sie sie bei Bedarf an
4. Seien Sie vorsichtig, wenn Sie permissive Direktiven wie 'unsafe-eval' oder 'wasm-unsafe-eval' hinzufügen
5. Halten Sie Ihre Discourse-Instanz auf dem neuesten Stand, um von den neuesten CSP-Verbesserungen zu profitieren