Можем ли мы использовать 'self' с 'unsafe-Inline' вместо nonce для политики безопасности контента?

Question

У нас возникает проблема с безопасностью из-за небезопасного встроенного в заголовок, и, согласно команде безопасности, мы должны использовать одноразовый номер, но его сложно использовать со встроенным методом обработчика событий, поэтому мы ищем возможность использовать «я» вместо одноразового номера.

Answer 1

Встроенные обработчики событий не являются элементами nonceable, поэтому вы не можете разрешить их использование с одноразовым номером. Вы можете использовать «unsafe-inline» или переписать обработку событий в файл на вашем сервере, для чего вам потребуется «self» для загрузки. Добавление 'self' позволит загружать файлы в соответствии с этой директивой, но не позволит напрямую использовать встроенные обработчики событий.