javascript - 使用 Sentry 时忽略特定的 CSP 错误

Question

我在我的站点中使用基于散列的 script-src CSP(v2)，以及 Sentry 的 report-uri。

最近我收到很多 CSP 违规报告，特别是来自最新版本的 Firefox(撰写本文时为 66 版)，造成了很多噪音。

Recently Blocked 'script' from 'inline:'

在我自己的计算机上安装 firefox 进行测试，我发现许多插件实际上将内联脚本注入(inject) DOM，从而触发 CSP 错误。

可以通过 CSP 规则忽略/缓解此问题，或者我可以通过 sdk 或仪表板设置以某种方式忽略所有这些 firefox 条目吗？

Answer 1

我收到 Sentry 客服的回复:

“您可以忽略这些，方法是进入您的项目设置，然后是 Security Headers > CSP Instructions > 'Additional ignored sources'，然后粘贴 blocked_uri 值事件的 CSP 报告。”

在这种情况下，blocked_uri 值将是 inline。请注意，它会忽略所有 inline 报告，不仅来自 firefox，但这足以解决我的问题。