javascript - 使用 underscore.js 时如何修复浏览器 CSP 错误

Question

过去几年我一直在开发 Web 应用程序，最近通过添加内容安全策略使其更加安全。

我已经能够解决我发现的大部分问题，但我无法解决剩余的一个问题。每当在 underscore.js 中发生模板时，CSP 都会提示一条错误消息，因为我相信它使用了一个禁忌；作为 js 代码“new Function(...)”。

我在网上看到了其他的推荐，基本上是:

• 使用引擎预编译模板，例如Grunt-inline-template-compile当您的模板字符串内联时，这很有用，我的都在标签中的实际 html 中，因此如果没有大量内容移动，这是不可能的。
• 切换到另一个模板引擎，这个选项会比之前的选项更有吸引力，但我担心它会破坏下划线的所有模板语法行，并且本身就是一项巨大的工作。

还有其他人们知道的选择吗？

Answer 1

尝试将您域中的脚本的 Content-Security-Policy header 设置为 unsafe-eval 作为临时解决方法。 http://content-security-policy.com/然后尽快转移到模板引擎，例如 Handlebars。您可以将模板放在单独的 html 文件中，并将它们编译成 javascript 作为构建的一部分。这使您在开发时很好地分离了 html 和 js，但在生产版本中为您的用户在浏览器中提供了良好的性能