javascript - 属性内内联 JS 的 CSP 哈希或随机数

Question

内容安全策略的新内容，因此不确定这是否可能，但想知道如何在 HTML 元素的属性中为某些内联脚本添加哈希或随机数。

例如:

<form method="post" onsubmit="function();">

在 Google Chrome 中给我以下 CSP 错误:

Refused to execute inline event handler because it violates the following Content Security Policy directive: "script-src 'self'. Either the 'unsafe-inline' keyword, a hash ('sha256-...'), or a nonce ('nonce-...') is required to enable inline execution.

我试过只对脚本进行哈希处理，例如 function();以及 onsubmit="function"也不工作。我尝试向表单元素添加一个随机数，但这没有帮助。

如果需要，我可以将事件绑定(bind)移到元素属性之外，只是好奇是否有办法使用上述方法遵守 CSP。

Answer 1

转到您的内容被阻止的端点。在浏览器上查看控制台。您的浏览器将通知被阻止的内容，它还会为您提供必须用于通过 CSP 取消阻止该内容的哈希值。

来源:https://www.troyhunt.com/locking-down-your-website-scripts-with-csp-hashes-nonces-and-report-uri/