javascript - 内容安全策略和 mod_pagespeed 评估

Question

我正在尝试为我的网站设置 CPS 规则。我还尝试阻止在脚本中使用 'unsafe-eval' ，但我发现 mod_pagespeeds 经常使用它。以下是 mod_pagespeeds 在网页上生成的一些代码:

<script>eval(mod_pagespeed_N_OeYaMDDO);</script> <script>eval(mod_pagespeed_vvygFO_kog);</script>

如何解决这个问题？

网站上安装的一些插件(基于 WordPress)还喜欢添加内联脚本。有办法解决这个问题吗？

最后一个问题。使用 'unsafe-inline' 作为样式的想法有多糟糕？ Google 建议使用内联样式来快速加载页面，但 CPS 表示这是不好的做法。该相信谁呢？

Answer 1

来自文档:

As of 1.13.35.1 PageSpeed is able to adapt its optimizations according to any Content Security Policies specified in the response headers. In this release you need to opt-in into this feature, future releases may turn it on by default.

要选择加入，请配置以下内容:ModPagespeedHonorCsp on

我在我的服务器上启用了上述内容，并删除了 unsafe-eval 作为允许的 CSP 脚本源。然而，mod_pagespeed 似乎忽略了这一点并仍然使用 eval。 Chrome 开发工具控制台显示了很多错误。我在这里记录了这个问题:

https://groups.google.com/forum/#!topic/mod-pagespeed-discuss/65Emhm1O1xs