Как внедрить кнопку подписки Razorpay с ограничениями CSP

[MihirR (Mihir)]

Я только что создал простую статическую страницу для подписок и теперь хочу встроить на неё кнопку.

Вот код:

<form>
    <script
        src="https://cdn.razorpay.com/static/widget/subscription-button.js"
        data-subscription_button_id="pl_randodmdi7373737"
        data-button_theme="brand-color"
        async>
    </script>
</form>

Насколько я знаю, политика безопасности контента (CSP) не позволит мне использовать этот скрипт. Есть ли способ обойти это?

P.S. Я использую плагин Landing Page для создания пользовательской страницы.

[awesomerobot (Kris)]

Это может помочь

@awesomerobot

Вы видите ошибку, связанную со скриптом, в консоли браузера? Что-то вроде этого?

Вам нужно добавить предоставленный хеш ('sha256-xxxxx') в настройку «content security policy script src», которую можно найти в разделе администрирования > все настройки сайта.

Кроме того, у нас есть дополнительная информация о CSP здесь: Mitigate XSS Attacks with Content Security Policy

[MihirR (Mihir)]

Скрипт src политики безопасности контента

https://cdn.razorpay.com
Добавить элемент…

content_security_policy_script_src: Значение должно быть либо 'unsafe-eval', либо 'wasm-unsafe-eval', либо иметь вид '<алгоритм хеширования>-<значение base64>', где поддерживаемые алгоритмы хеширования — sha256, sha384 или sha512. Убедитесь, что ваш ввод заключён в одинарные кавычки.

Дополнительные разрешённые источники скриптов. Текущий хост и CDN включены по умолчанию. См. «Смягчение атак XSS с помощью политики безопасности контента» (CSP). Другие источники хостов игнорируются, так как включён strict-dynamic.

Вот ошибка, которую я получаю.

[awesomerobot (Kris)]

Верно, это ошибка конфигурации настроек в админ-панели… После добавления вашего скрипта вам следует искать ошибку в консоли браузера (щелкните правой кнопкой мыши по странице, где должен быть загружен скрипт, выберите «Проверить», затем перейдите на вкладку «Консоль»)

В консоли вы должны увидеть ошибку, похожую на эту:

Эта ошибка содержит либо хеш, либо значение nonce, которые затем нужно добавить в настройку админ-панели «content security policy script src»