TheNab
30. Juni 2025 um 00:54
1
Das Inline-JavaScript-Tag wird wegen CSP nicht geladen und ich weiß nicht, wie ich es beheben kann.
2 „Gefällt mir“
Es gibt einige Informationen in diesem Beitrag, die hilfreich sein könnten: Mitigate XSS Attacks with Content Security Policy
Discourse:
CSP und Drittanbieter-Integrationen
Bei der Verwendung von Drittanbieterdiensten wie Google Tag Manager, Google Analytics oder Werbediensten müssen Sie möglicherweise Ihre CSP-Einstellungen anpassen. In den meisten Fällen mit Discourse Version 3.3.0.beta1 oder neuer sollten externe Skripte aufgrund der ‘strict-dynamic’ CSP-Implementierung ohne zusätzliche Konfiguration funktionieren.
Wenn Sie auf Probleme stoßen, müssen Sie möglicherweise:
Identifizieren Sie die erforderlichen Skriptquellen, indem Sie Ihre Browserkonsole überwachen
Fügen Sie die notwendigen Quellen zur Einstellung content_security_policy_script_src hinzu
Für komplexe Integrationen wie Werbedienste, die externe Ressourcen laden, müssen Sie möglicherweise Cross-Domain-Rendering aktivieren (Beispiel-PR von discourse-adplugin , der dies tut).
Best Practices
Beginnen Sie mit dem CSP Report-Only-Modus, um potenzielle Probleme zu identifizieren
Lockern Sie Ihre CSP schrittweise, während Sie legitime Verstöße beheben
Überprüfen Sie regelmäßig Ihre CSP-Einstellungen und passen Sie sie bei Bedarf an
Seien Sie vorsichtig, wenn Sie permissive Direktiven wie 'unsafe-eval' oder 'wasm-unsafe-eval' hinzufügen
Halten Sie Ihre Discourse-Instanz auf dem neuesten Stand, um von den neuesten CSP-Verbesserungen zu profitieren
1 „Gefällt mir“
TheNab
30. Juni 2025 um 17:14
3
Ich habe das und andere gelesen, kann aber nicht zusammenfügen, wie ich die Ausnahme zur content_security_policy_script_src tatsächlich hinzufügen kann
1 „Gefällt mir“
Siehst du einen Fehler bezüglich des Skripts in deiner Browserkonsole? So etwas wie das hier?
Du möchtest den bereitgestellten Hash ('sha256-xxxxx') zur Einstellung „content security policy script src“ hinzufügen, die du unter Admin > Alle Website-Einstellungen findest.
1 „Gefällt mir“
TheNab
1. Juli 2025 um 15:57
5
Der Fehler, den ich erhielt, hatte nonce-s0m3h4sh im Firefox-Browser. Ich erhielt nicht den sha256-s0m3h4sh. Aber als ich gerade in Chrome nachsah, war es der sha256-Wert.
2 „Gefällt mir“
system
(system)
Geschlossen,
31. Juli 2025 um 15:58
6
This topic was automatically closed 30 days after the last reply. New replies are no longer allowed.