javascript - 谷歌分析内容安全政策

Question

我有内容安全政策:

default-src 'none';
style-src 'self';
script-src 'self' https://www.google-analytics.com;
img-src 'self' https://www.google-analytics.com;
connect-src 'self';

在我的页面上，我已将内联 GA 代码放入异步脚本中:

<script src="/javascript/ga.js" async></script>

这会导致 CSP 错误:

Refused to load the script 'data:application/javascript;base64,KGZ1bmN0aW9uKCkgewoJLy8gaHR0cHM6Ly9kZXZl…07Cgl9OwoJZ2EucmVtb3ZlID0gbm9vcGZuOwoJd2luZG93W2dhTmFtZV0gPSBnYTsKfSkoKTs=' because it violates the following Content Security Policy directive: "script-src 'self' https://www.google-analytics.com".

有没有办法从 JS 文件提供这个脚本，如果没有，我需要如何更改 CSP？

Answer 1

Google Analytics 与 CSP 兼容。 base64 编码的 data: blob OP 看到的是由 uBlock Origin 扩展注入(inject)的。要验证，禁用它/尝试隐身。 IIRC，这是由于扩展中的“实验性/未中断”设置。

请抵制白名单的诱惑data:在script-src .这将使该策略对 XSS 缓解完全无用，因为攻击者可以注入(inject) <script src="data:text/javascript,alert(1)"></script>。执行 Javascript。