html - Jenkins 内容安全策略

Question

我对 Jenkins 内容安全策略感到困惑。

我知道这些网站:

• Configuring Content Security Policy
• Content Security Policy Reference

我有一个通过 Jenkins Clover 插件显示的 html 页面。此 html 页面使用内联样式，例如:

<div class='greenbar' style='width:58px'>

div 元素可视化一个进度条。使用默认的 Jenkins CSP 配置会导致以下结果: Progressbar_FAIL

我想要的结果是这样的: Progressbar_WORKS

我尝试放宽 CSP 规则，添加具有不同级别(self、unsafe-inline 等)的不同参数组合(script-src、style-src)，但没有任何效果。

所以我现在的问题是:

1. 我必须在哪里指定 CSP 配置？
2. 是否可以使用内联样式？
3. 样式应该放在哪里？我的 css 样式表位于本地 Jenkins 服务器上。
4. “满足”内联样式和 CSP 规则的最佳方式是什么

更新

<强>1。尝试:-Dhudson.model.DirectoryBrowserSupport.CSP="default-src 'self'在 jenkins.xml 文件中。然后出现如下错误:

Refused to apply inline style because it violates the following Content Security Policy directive: "default-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-'), or a nonce ('nonce-...') is required to enable inline execution. Note also that 'style-src' was not explicitly set, so 'default-src' is used as a fallback.

<强>2。尝试-Dhudson.model.DirectoryBrowserSupport.CSP="default-src 'self'; style-src 'self' 在jenkins.xml文件中。然后出现如下错误:

Refused to apply inline style because it violates the following Content Security Policy directive: "style-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-'), or a nonce ('nonce-...') is required to enable inline execution

我明白这个尝试不能解决我的问题，因为default-src包含style-src

<强>3。尝试-Dhudson.model.DirectoryBrowserSupport.CSP="default-src 'self'; style-src 'unsafe-inline' 在jenkins.xml文件中。然后出现如下错误:

Refused to load the stylesheet s://jenkins/andsomedir/stylesheet.css [its https://... not allowed to post more than two links :(] because it violates the following Content Security Policy directive: "style-src 'unsafe-inline'".

Answer 1

在试验时，我建议使用脚本控制台动态调整 CSP 参数，如 Configuring Content Security Policy 中所述页。 (Jenkins wiki 页面中还有另一条注释表明您可能需要强制重新加载页面才能看到新设置。)

为了同时使用内联样式和本地样式表，您需要同时添加self 和unsafe-inline:

System.setProperty("hudson.model.DirectoryBrowserSupport.CSP", "default-src 'self'; style-src 'self' 'unsafe-inline';")

根据进度条的操作方式，您可能还需要以相同的方式调整“script-src”。

找到有效的设置后，您可以调整 Jenkins 启动脚本以添加 CSP 参数定义。