هل يسبب DISCOURSE_CDN_URL انتهاكات لسياسة أمان المحتوى؟

xrav3nz · 6 فبراير 2020، 11:11م

إذن لدينا هذا في سياسة أمن المحتوى (CSP)

https://abedmulti-92e2.kxcdn.com/uploads/assets/
https://abedmulti-92e2.kxcdn.com/uploads/brotli_asset/
# أي: DISCOURSE_S3_CDN_URL + /brotli_asset/

لكن العنوان الفعلي هو

https://lcsupport-92e2.kxcdn.com/brotli_asset/preload-store-d32dcf974dddcac742f8a7a6aa7fcd686185920b201029d0ecb2b85527ef9034.js
# أي: DISCOURSE_CDN_URL + /brotli_asset/...

الكود ذي الصلة في سياسة أمن المحتوى (CSP):

github.com/discourse/discourse

lib/content_security_policy/default.rb

49843f327


      
            # [dir, can_use_s3_cdn, can_use_cdn]
            ['/assets/',             true, true],
            ['/brotli_asset/',       true, true],
            ['/extra-locales/',      false, false],
            ['/highlight-js/',       false, true],
            ['/javascripts/',        false, true],
            ['/plugins/',            false, true],
            ['/theme-javascripts/',  false, true],
            ['/svg-sprite/',         false, true],
          ]
          
          def script_assets(base = base_url, s3_cdn = GlobalSetting.s3_cdn_url, cdn = GlobalSetting.cdn_url)
            SCRIPT_ASSET_DIRECTORIES.map do |dir, can_use_s3_cdn, can_use_cdn|
              if can_use_s3_cdn && s3_cdn
                s3_cdn + dir
              elsif can_use_cdn && cdn
                cdn + dir
              else
                base + dir
              end

نحن نعط الأولوية لاستخدام DISCOURSE_S3_CDN_URL للأصول عند توفره. وهذا يتوافق مع توليد عناوين أصول CDN.

@pfaffman هل تُرجع GlobalSetting.use_s3؟ قيمة true لموقعك؟

أتساءل عما إذا كنا بحاجة إلى إضافة تحقق من GlobalSetting.use_s3؟ هنا. هل وجود GlobalSetting.s3_cdn_url يعني بالضرورة GlobalSetting.use_s3؟؟ أنا غير متأكد قليلاً بشأن توليد الأصول / CDN لـ S3 الآن هل يمكن لشخص أكثر دراية بذلك إلقاء نظرة أيضًا؟ شكرًا!

الموضوع		الردود	مرات العرض
CDN URL must be added to csp script src Self-hosting cdn	3	800	16 أبريل 2020
Admin upgrade page doesn't load with a CDN Support	3	1187	4 نوفمبر 2020
Assets not serving from CDN in latest update Support	16	2023	7 فبراير 2020
Defining DISCOURSE_S3_CDN_URL links to assets in S3 CDN URL Support	42	7507	22 أبريل 2020
Refused to load the script 'site.com/cdn-cgi/speculation' because it violates the following Content Security Policy directive Support content-security-policy	3	8609	22 سبتمبر 2024

هل يسبب DISCOURSE_CDN_URL انتهاكات لسياسة أمان المحتوى؟

الموضوعات ذات الصلة