약속대로, 이 기능이 이제 기본적으로 활성화되었습니다: CSP Frame Ancestors enabled by default
10개의 좋아요
안녕하세요,
현재 제 웹사이트에 Google AdSense를 설정하고 있는데, “Enable CSP violation report collection at /csp_reports” 설정을 찾을 수 없는 것 같습니다. 현재 Discourse 2.9.0.beta6 버전을 셀프 호스팅하고 있습니다.
위 인용문에 있는 스크린샷은 제가 찾지 못하고 있는 설정입니다.
위 이미지는 CSP 설정 페이지로, “Enable CSP violation report collection at /csp_reports” 옵션이 빠져 있습니다.
도움 주시면 감사하겠습니다! 그리고 AdSense를 위해 설정한 항목들이 올바른지 확인해 주실 수 있을까요? 이전에 AdSense를 사용해 본 적이 없어서요 
!
3개의 좋아요
죄송합니다. 약 한 달 전부터 content_security_policy_collect_reports를 숨김 설정으로 변경했기 때문에, 제가 이전에 여기에 남긴 답변들은 이제 구식이 되었습니다. 여전히 활성화할 수는 있지만, 다음과 같이 Rails 콘솔을 통해 수행해야 합니다:
./launcher enter app
...
rails c
...
SiteSetting.content_security_policy_collect_reports = true
이 방법은 로그가 매우 많이 생성되므로, 이 경로를 따르는 것을 강력히 권장하지 않습니다. 대신 CSP를 활성화하고, 브라우저 콘솔을 켜둔 채로 여러 브라우저(Chrome, Firefox, Safari)를 사용하여 사이트를 탐색하는 것이 좋습니다. 이렇게 하면 대부분의 문제를 찾을 수 있습니다. 또한 현재 설정 상태에서는 CSP가 보호하는 거의 모든 항목을 허용하고 있으므로, 리포트를 사용할 필요가 없어야 합니다.
6개의 좋아요
무언가를 놓치고 있는 건지 모르겠지만, 설정 UI에서 이 옵션들을 찾을 수 없습니다.
content_security_policycontent_security_policy_report_onlycontent_security_policy_collect_reports(현재 숨겨져 있는 것을 확인했습니다)content_security_policy_script_src
이 옵션들은 호스팅 인스턴스에서도 사용 가능한가요? 원 게시글이나 댓글에서 이것이 제한 사항이라는 언급을 보지 못했습니다.
수정: 테마를 통해 보안 정책을 설정해 보기도 했습니다.
원 게시글에 안내된 대로 작동하지 않는 것 같습니다.
테마나 테마 컴포넌트를 통해 설정하더라도 제가 사용 중인 호스팅 플랜에서는 이 기능을 사용할 수 없는 것 같습니다.
아니면 제가 완전히 잘못하고 있는 걸 수도 있겠네요.
1개의 좋아요
현재 Discourse는 기본적으로 다음 지시문과 함께 CSP Level 2 정책을 제공합니다:
base-uri는<base>요소의 URL을 제한합니다
base-uri 헤더의 기본 값을 오버라이드할 수 있는 옵션이 있나요?
1개의 좋아요
디스커스에서 <base> 요소는 실제로 어디에 사용됩니까?
이렇게 하면 Discourse의 푸시 알림이 중단될까요?
가능합니다. 더 적합한 설정이 필요할 수도 있습니다.
1개의 좋아요
게시글이 새 주제로 분리되었습니다: 안전한 이미지를 사용하는 권장 방법은 무엇인가요?
안녕하세요,
아래 문제를 우회하는 방법이 있을까요? content_security_policy_script_src에 새로운 Function() 표현식을 호출하는 스크립트를 추가했는데, 브라우저 콘솔에서 여전히 아래 오류가 발생합니다. unsafe-eval을 제외하려면 어디를 수정해야 할까요? 감사합니다!
Uncaught EvalError: Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive:
1개의 좋아요
죄송합니다. 아래 내용이 맞다면 이전 게시물을 무시해 주세요. 위 게시물을 통해 'unsafe-eval’을 content_security_policy_script_src에 직접 설정할 수 있으며, 더 이상 콘솔에 JS 오류가 보고되지 않음을 알려 드립니다.
1개의 좋아요
content security policy script src 사이트 설정을 확인해 보시는 건 어떨까요?
1개의 좋아요
네. 이전 답변에서 언급했듯이 'unsafe-eval’을 content_security_policy_script_src에 직접 추가할 수 있습니다. URL 기본 주소나 전체 URL만 추가할 수 있다고 생각했습니다.
1개의 좋아요