Политика безопасности содержимого script-src нарушена для встроенных обработчиков событий в пакете dhtmlx 4.2
Я работаю над приложением, использующим dhtmlxSuite 4.2, и я работал над рефакторингом нашей кодовой базы для поддержки политики безопасности контента. На данный момент мы удаляем 'unsafe-inline' и используем одноразовый номер для защиты встроенных скриптов.
Не могли бы вы предоставить некоторую информацию о пакете dhtmlx 4.2, поддерживает ли он CSP и, если да, как я могу настроить его для поддержки CSP с использованием одноразового номера? Я искал в Интернете, но я не могу найти соответствующую документацию для этой версии.
Наша директива script-src в заголовке CSP:
script-src 'self' 'strict-dynamic' 'unsafe-eval' 'nonce-r4nd0m'
Я использую следующую строку, чтобы добавить файлы .jsdhtmlx в код:
<script nonce="r4nd0m" src="/dhtmlx/dhtmlxWindows/codebase/dhtmlxwindows.js">
Значения nonce и src не имеют значения, я добавил их только для этого примера.
В настоящее время в браузере отображается следующая ошибка:
`[Report Only] Refused to execute inline event handler because it violates the following Content Security Policy directive: "script-src 'self' 'strict-dynamic' 'unsafe-eval' 'nonce-xk0G314zlbshNaCyRmCZfqZNr3N8EEG3ZYSUkRvnfSs=
dhtmlXCellObject._detachObject|@|dhtmlxcontainer.js:1010
dhtmlXCellObject.unloadView|@|dhtmlxcontainer.js:356
dhtmlXCellObject._unload|@|dhtmlxcontainer.js:547
dhtmlXWindows._winClose|@|dhtmlxwindows.js:874
dhtmlXWindows._winButtonClick|@|dhtmlxwindows.js:1719
dhtmlXWindows._winMouseDownHandler|@|dhtmlxwindows.js:998
obj.callEvent|@|VM2422 dhtmlxcommon.js:929
_winOnMouseDown|@|dhtmlxwindows.js:259`
Насколько я понимаю, dhtmlx при создании некоторых встроенных событий приводит к несовместимости с CSP. Я ожидаю найти способ сделать dhtmlx suite 4.2 совместимым с фильтром CSP.
Ниже приведена некоторая выдержка из базы кода dhtmlx, откуда взята трассировка стека:введите описание изображения здесь введите описание изображения здесь
Спасибо!