java - 如何设置 script-src 'self' 'unsafe-inline' 'unsafe-eval' ;样式-src 'self' 'unsafe-inline' ;对于 Play Framework 2.6.x 中的特定页面或路径？

Question

我一直在尝试在我的网络应用程序中设置文本编辑器。在哪里访问文本编辑器我必须允许 script-src 'self' 'unsafe-inline' 'unsafe-eval' 和 style-src 'unsafe-inline'。但在 playframework 2.6.x 中我必须将其设置为配置文件中的 play.filters.headers.contentSecurityPolicy 这使得整个应用程序不安全。

注意:元标记不起作用，即使我尝试通过过滤器在响应 header 中传递内容安全策略。什么都不起作用。

在这种情况下，有没有办法为 2.6.x 中的任何特定页面或路径设置 script-src 'self' 'unsafe-inline' 'unsafe-eval' 和 style-src 'unsafe-inline'？

Answer 1

这是来自 Silhouette Seed Template 的示例

# Security Filter Configuration - Content Security Policy
play.filters.headers {
  contentSecurityPolicy = "default-src 'self';"
  contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" img-src 'self' *.fbcdn.net *.twimg.com *.googleusercontent.com *.xingassets.com vk.com *.yimg.com secure.gravatar.com;"
  contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" style-src 'self' 'unsafe-inline' cdnjs.cloudflare.com maxcdn.bootstrapcdn.com cdn.jsdelivr.net fonts.googleapis.com;"
  contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" font-src 'self' fonts.gstatic.com fonts.googleapis.com cdnjs.cloudflare.com;"
  contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" script-src 'self' cdnjs.cloudflare.com;"
  contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" connect-src 'self' twitter.com *.xing.com;"
}

玩2.7在某个操作上，它看起来像:

Ok("Index").withHeaders(SecurityHeadersFilter.REFERRER_POLICY -> "my page-specific header")

查看文档:https://www.playframework.com/documentation/2.7.x/SecurityHeaders#Action-specific-overrides

但是在 Play 2.7 中，这已被弃用 - 使用 CSP 代替 - 请参阅:https://www.playframework.com/documentation/2.7.x/CspFilter#Enabling-CSP-on-Specific-Actions

还可以(在同一个文档上)从 CSP 过滤器中排除路由，例如:

+ nocsp
POST     /report-to                 controllers.CSPReportController.report