content-security-policy 문제로 랜딩 페이지 플러그인에서 script 태그가 작동하지 않음

[TheNab]

CSP 때문에 인라인 JS 스크립트 태그가 로드되지 않고 있는데, 어떻게 고쳐야 할지 모르겠어요.

[awesomerobot (Kris)]

이 게시물에 도움이 될 수 있는 정보가 있습니다: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP 및 서드파티 통합

Google Tag Manager, Google Analytics 또는 광고 서비스와 같은 서드파티 서비스를 사용하는 경우 CSP 설정을 조정해야 할 수 있습니다. Discourse 버전 3.3.0.beta1 이상에서는 대부분의 경우 ‘strict-dynamic’ CSP 구현 덕분에 추가 구성 없이 외부 스크립트가 작동합니다.

문제가 발생하는 경우 다음 작업을 수행해야 할 수 있습니다:

1. 브라우저 콘솔을 모니터링하여 필요한 스크립트 소스를 식별합니다.
2. 필요한 소스를 content_security_policy_script_src 설정에 추가합니다.
3. 외부 리소스를 로드하는 광고 서비스와 같은 복잡한 통합의 경우, 크로스 도메인 렌더링을 활성화해야 할 수 있습니다(이를 수행하는 discourse-adplugin의 예시 PR 참조).

모범 사례

1. 잠재적인 문제를 식별하기 위해 CSP Report-Only 모드에서 시작합니다.
2. 합법적인 위반 사항을 해결하면서 CSP를 점진적으로 강화합니다.
3. CSP 설정을 정기적으로 검토하고 필요에 따라 조정합니다.
4. 'unsafe-eval' 또는 'wasm-unsafe-eval'과 같은 허용적인 지시문을 추가할 때는 주의합니다.
5. 최신 CSP 개선 사항을 활용하기 위해 Discourse 인스턴스를 최신 상태로 유지합니다.

[TheNab]

그것과 다른 자료들을 읽어봤지만, 실제로 content_security_policy_script_src에 예외를 추가하는 방법을 어떻게 조합해야 하는지 모르겠습니다.

[awesomerobot (Kris)]

브라우저 콘솔에서 스크립트와 관련된 오류를 확인하시나요? 다음과 같은 오류인가요?

제공된 해시('sha256-xxxxx')를 관리자 > 전체 사이트 설정에 있는 “content security policy script src” 설정에 추가해야 합니다.

[TheNab]

제가 겪던 에러는 Firefox 브라우저에서 nonce-s0m3h4sh가 표시되는 것이었고, sha256-s0m3h4sh는 나오지 않았습니다. 그런데 방금 Chrome으로 확인해보니 sha256이었던 것 같아요. 아마 그게 제 혼란의 대부분을 일으킨 것 같습니다.