如何在避免内容安全策略(XSS)的情况下添加分析和像素脚本

您好,

我尝试通过自定义组件和编辑默认主题的 HTML 来添加 Facebook Pixel 脚本和 Posthog 分析到我的网站。

由于内容安全策略(CSP),这些不起作用。我甚至尝试使用 sha256 对脚本进行哈希处理,但在“内容安全策略脚本源”中添加它时会收到此错误:

我还阅读了此主题:Mitigate XSS Attacks with Content Security Policy

我该如何避免对特定脚本的 CSP?

谢谢!

1 个赞

我已经禁用了内容安全策略,并在脚本的 src 中添加了“unsafe-eval”,但它仍然不起作用。

这是我的自定义组件(在 head 中):

我最近在几个网站上添加了 PostHog,并且不需要更改任何 CSP 设置。(我还没有尝试 Facebook Pixel。一次只添加一项可能有所帮助。)我的技术是使用主题组件:

这是一个强烈的信号,表明 CSP 不是问题。

尝试一开始只使用 PostHog,看看是否有效。如果有效,再尝试只使用 Meta Pixel。

就我所知,PostHog 工具栏无法与 Discourse 立即兼容。请参阅:

1 个赞