landing pages pluginでscript tagがcontent-security-policyのため機能しない

[TheNab]

CSPが原因で、インラインJSスクリプトタグがロードされていません。どうすれば修正できるかわかりません。

[awesomerobot (Kris)]

この投稿には、役立つ情報が含まれている場合があります: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP とサードパーティの統合

Google Tag Manager、Google Analytics、または広告サービスなどのサードパーティサービスを使用する場合、CSP 設定を調整する必要がある場合があります。ほとんどの場合、Discourse バージョン 3.3.0.beta1 以降では、‘strict-dynamic’ CSP の実装により、追加の設定なしで外部スクリプトが機能するはずです。

問題が発生した場合は、次の手順を実行する必要がある場合があります。

1. ブラウザコンソールを監視して、必要なスクリプトソースを特定します。
2. 必要なソースを content_security_policy_script_src 設定に追加します。
3. 広告サービスのように外部リソースを読み込む複雑な統合の場合は、クロスドメインレンダリングを有効にする必要がある場合があります (これを実行する discourse-adplugin の例 PR)。

ベストプラクティス

1. 潜在的な問題を特定するために、CSP レポートオンリーモードから開始します。
2. 正当な違反を解決しながら、CSP を徐々に強化します。
3. CSP 設定を定期的にレビューし、必要に応じて調整します。
4. 'unsafe-eval' や 'wasm-unsafe-eval' のような緩いディレクティブを追加する際は注意してください。
5. 最新の CSP の改善を活用するために、Discourse インスタンスを最新の状態に保ちます。

[TheNab]

それや他の情報も読みましたが、content_security_policy_script_src に実際に例外を追加する方法がわかりません。

[awesomerobot (Kris)]

ブラウザのコンソールにスクリプトに関するエラーが表示されていますか？例えば、このようなエラーです。

管理画面 > 全サイト設定にある「コンテンツセキュリティポリシー スクリプト src」設定に、提供されたハッシュ（'sha256-xxxxx'）を追加する必要があります。

[TheNab]

Firefox ブラウザでは nonce-s0m3h4sh というエラーが表示されていましたが、sha256-s0m3h4sh は表示されていませんでした。しかし、今 Chrome で確認したところ、sha256 の方でした。