Wie man Analytics- und Pixel-Skripte hinzufügt, ohne die Content Security Policy (XSS) zu verletzen

[illusionandcards]

Guten Tag,

Ich habe versucht, das Facebook Pixel-Skript und die Posthog-Analysen mit einer benutzerdefinierten Komponente und durch Bearbeiten des HTML des Standardthemas zu meiner Website hinzuzufügen.

Diese funktionieren aufgrund der Content Security Policy nicht. Ich habe sogar versucht, das Skript mit sha256 zu hashen, aber ich erhalte diesen Fehler, wenn ich es zu „content security policy script src“ hinzufüge:

Ich habe auch dieses Thema gelesen: Mitigate XSS Attacks with Content Security Policy

Wie kann ich CSP für bestimmte Skripte vermeiden?

Vielen Dank!

[illusionandcards]

Ich habe sogar die Content Security Policy deaktiviert und “unsafe-eval” zu den Skript-Quellen hinzugefügt, aber es funktioniert immer noch nicht.

Hier ist meine benutzerdefinierte Komponente (im Kopf):

[jericson (Jon Ericson)]

Ich habe PostHog kürzlich zu mehreren Websites hinzugefügt und musste keine CSP-Einstellungen ändern. (Ich habe Facebook Pixel noch nicht ausprobiert. Es könnte hilfreich sein, jeweils eine Sache hinzuzufügen.) Meine Technik war die Verwendung einer Theme Component:

Starting using PostHog with Discourse

@illusionandcards

Ich habe sogar die Content Security Policy deaktiviert und “unsafe-eval” zu den Skript-Quellen hinzugefügt, aber es funktioniert immer noch nicht.

Das ist ein starkes Signal, dass CSP nicht das Problem ist.

Versuchen Sie, zunächst nur mit PostHog zu beginnen und zu sehen, ob das funktioniert. Wenn ja, versuchen Sie es nur mit Meta Pixel.

Was es wert ist, die PostHog-Toolbar funktioniert nicht out-of-the-box mit Discourse. Siehe:

Toolbar - Docs - PostHog