Bei der Installation eines HTML-Skripts tritt ein Problem auf?

[BishopV]

im facing issue to install pure chat script in my forum , because discourse enable whilelist filter for security protect . I tried to add few pure chat link into whitelist but still cannot show out the pure chat conversation tab , kindly assist , here is the error message :

legacy.111147.js:1 Uncaught EvalError: Refused to evaluate a string as JavaScript because ‘unsafe-eval’ is not an allowed source of script in the following Content Security Policy directive:

at new Function (<anonymous>)
at Function.b.template (legacy.111147.js:1)
at Module.<anonymous> (legacy.111147.js:32)
at n (legacy.111147.js:1)
at Object.<anonymous> (legacy.111147.js:32)
at n (legacy.111147.js:1)
at legacy.111147.js:1
at legacy.111147.js:1

anyone know how to settle this issue ? if i unable CSP the script will working fine . but how to enable CSP and working on it too ?

[hawm]

Add your script source to setting content security policy script src.

[BishopV]

i added those error link when i saw from console tab

but still cannot working fine

[codinghorror (Jeff Atwood)]

Du verwendest die Funktion falsch. Du musst nur die Domain und nicht jede einzelne URL einzeln freigeben.

Vielleicht muss der Text hier noch verbessert werden, @tshenry?

[BishopV]

thanks for assist , i will try to amend agian.

[BishopV]

but still the issue there , the purechat script cannot showing out , if i enable CSP . even thought i added 2 new link.

[tshenry (Taylor)]

Volle Offenlegung – ich betrachte mich nicht als CSP-Experte!

Trotzdem glaube ich, dass es Szenarien gibt, in denen es ideal wäre, die Domain freizugeben, und andere Szenarien, in denen es besser ist, die einzelnen Skripte gezielt zu adressieren. Ich bin mir ziemlich sicher, dass dies davon abhängt, wie viele Skripte Sie freizugeben benötigen, ob Sie der Quelle vertrauen usw. Ich werde einen Hinweis in die Anleitung aufnehmen, der erwähnt, dass Sie bei Bedarf die Domain als All-in-One-Lösung verwenden können.

Die Einstellungen in den bereitgestellten Screenshots waren definitiv etwas übertrieben, aber ich stelle mir das als einen Versuch vor, alles abzudecken, da nichts funktionierte.

Ich habe gerade Pure Chat als Experiment auf meiner Testseite hinzugefügt. Ich konnte es in Chrome mit einem Hash zum Laufen bringen, aber das reichte für Safari und Firefox nicht aus. Ich habe es mit Penar besprochen, und dies scheint einer dieser unglücklichen Fälle zu sein, die 'unsafe-inline' erfordern, wie in folgendem Abschnitt erwähnt:

@xrav3nz

4. Integration von Drittanbieter-Skripten / Diensten

Verschiedene Integrationen haben unterschiedliche Anforderungen, können aber ähnlich behandelt werden.

Sie könnten die empfohlene CSP-Whitelist der Integration nachschlagen und die Standard-CSP entsprechend erweitern. Ich empfehle, einfach den CSP Report Only-Modus in Discourse zu aktivieren und Ihre Konsole zu beobachten, um festzustellen, welche Ressourcen Sie freizugeben benötigen, damit Ihre Integrationen funktionieren.

Dies ist besonders wichtig bei der Verwendung von Drittanbieter-Skript-Bundlern wie Google Tag Manager oder Segment, da diese Bundler viele Drittanbieter- oder Inline-Skripte laden könnten. (Sie könnten sogar 'unsafe-inline' hinzufügen müssen, wenn Sie Segment oder GTM verwenden, obwohl diese Definition so weit wie möglich vermieden werden sollte.)

---

@BishopV Ich denke, Ihre einzige Option, wenn Sie bei Pure Chat bleiben möchten, besteht darin, alle Einträge in dieser Einstellung zu entfernen und 'unsafe-inline' auf Kosten der Sicherheit hinzuzufügen.

Haben Sie bereits Setup HubSpot chat Integration in Betracht gezogen? Das scheint sich sehr gut mit unserer CSP-Richtlinie zu vertragen.

[codinghorror (Jeff Atwood)]

@tshenry

I think there are scenarios where it would be ideal to whitelist the domain, and other scenarios where it’s better to target the individual scripts

Regardless, the worst possible outcome is for someone to hard-code 20 unique URLs from the same domain…

[BishopV]

Danke für die Unterstützung! Ich denke, HubSpot ist jetzt meine Lösung. Ich bin froh, dass ich Discourse als Backend gewählt habe – hier gibt es viel Hilfe und Unterstützung.