لا يمكن تشغيل script tag في landing pages plugin بسبب content-security-policy

[awesomerobot (Kris)]

هناك بعض المعلومات في هذا المنشور قد تساعد: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP والتكاملات الخارجية

عند استخدام خدمات خارجية مثل Google Tag Manager أو Google Analytics أو خدمات الإعلانات، قد تحتاج إلى تعديل إعدادات CSP الخاصة بك. في معظم الحالات مع Discourse الإصدار 3.3.0.beta1 أو أحدث، يجب أن تعمل البرامج النصية الخارجية دون تكوين إضافي بسبب تطبيق ‘strict-dynamic’ CSP.

إذا واجهت مشكلات، قد تحتاج إلى:

1. تحديد مصادر البرامج النصية المطلوبة عن طريق مراقبة وحدة تحكم المتصفح لديك
2. إضافة المصادر الضرورية إلى الإعداد content_security_policy_script_src
3. للتكاملات المعقدة مثل خدمات الإعلانات التي تقوم بتحميل موارد خارجية، قد تحتاج إلى تمكين العرض عبر المجالات (مثال PR من discourse-adplugin الذي يقوم بذلك).

أفضل الممارسات

1. ابدأ بوضع تقرير CSP فقط لتحديد المشكلات المحتملة
2. قم بتشديد CSP الخاص بك تدريجيًا أثناء حل الانتهاكات المشروعة
3. قم بمراجعة إعدادات CSP الخاصة بك بانتظام وقم بالتعديل حسب الحاجة
4. كن حذرًا عند إضافة توجيهات متساهلة مثل 'unsafe-eval' أو 'wasm-unsafe-eval'
5. حافظ على تحديث مثيل Discourse الخاص بك للاستفادة من أحدث تحسينات CSP