Come aggiungere script di analytics e pixel evitando Content Security Policy (XSS)

Buongiorno,

Ho provato ad aggiungere lo script Pixel di Facebook e l’analisi Posthog al mio sito con un componente personalizzato e modificando l’html dal tema predefinito.

Questi non funzionano a causa della Content Security Policy. Ho anche provato a generare l’hash dello script con sha256, ma ottengo questo errore quando lo aggiungo a “content security policy script src”:

Ho anche letto questo argomento: Mitigate XSS Attacks with Content Security Policy

Come posso evitare la CSP su script specifici?

Grazie!

1 Mi Piace

Ho persino disabilitato la Content Security Policy e aggiunto “unsafe-eval” ai src degli script, ma non funziona ancora.

Ecco il mio componente personalizzato (nell’head):

Ho recentemente aggiunto PostHog a diversi siti e non ho avuto bisogno di modificare alcuna impostazione CSP. (Non ho provato Facebook Pixel. Potrebbe essere utile aggiungere una cosa alla volta.) La mia tecnica è stata quella di utilizzare un componente del tema:

Questo è un forte segnale che la CSP non è il problema.

Prova a iniziare solo con PostHog e vedi se funziona. Se funziona, prova solo Meta Pixel.

Per quello che vale, la barra degli strumenti di PostHog non funziona immediatamente con Discourse. Vedi:

1 Mi Piace