Не получается заставить тег script работать в плагине Landing Pages из-за content-security-policy

[awesomerobot (Kris)]

В этом сообщении есть информация, которая может помочь: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP и интеграции со сторонними сервисами

При использовании сторонних сервисов, таких как Google Tag Manager, Google Analytics или рекламные платформы, возможно, потребуется настроить параметры CSP. В большинстве случаев с версией Discourse 3.3.0.beta1 и новее внешние скрипты работают без дополнительной конфигурации благодаря реализации CSP с параметром «strict-dynamic».

Если вы столкнулись с проблемами, вам может потребоваться:

1. Определить необходимые источники скриптов, отслеживая консоль браузера.
2. Добавить нужные источники в настройку content_security_policy_script_src.
3. Для сложных интеграций, таких как рекламные сервисы, загружающие внешние ресурсы, возможно, потребуется включить междоменную обработку (пример PR из discourse-adplugin, реализующий это).

Рекомендуемые практики

1. Начните с режима CSP Report-Only, чтобы выявить потенциальные проблемы.
2. Постепенно ужесточайте настройки CSP по мере устранения легитимных нарушений.
3. Регулярно проверяйте и при необходимости корректируйте настройки CSP.
4. Будьте осторожны при добавлении разрешающих директив, таких как 'unsafe-eval' или 'wasm-unsafe-eval'.
5. Следите за обновлениями экземпляра Discourse, чтобы пользоваться последними улучшениями CSP.