javascript - 使内联 JS 配置对象符合 CSP 标准(CSP 级别 1)

Question

我的Web应用程序(JS部分)需要在加载之前由服务器配置。现在它是通过以下方式完成的:

<script>
var configObj = {
setting1: "blah",
setting2: {val1: 1, val2:2},
};
</script>
<script src="myapp.js">

配置是特定于请求的，并且在构建 html 响应时由服务器内联。它运行良好，但违反了 unsafe-inline 内容安全策略规则。

不幸的是，我们不能仅仅依赖 CSP 2 级(哈希/随机数)，我们现在只能使用 1 级。是否有经过验证/推荐的方法以符合 CSP 的方式配置客户端应用程序？

到目前为止，我正在考虑将其作为字符串嵌入到某个 DOM 元素中，然后进行 JSON.parsing。还有其他(更好)的选择吗？

Answer 1

• 您可以将所有配置选项移至 data-* 属性中，然后在脚本中读取它们。
• 如果您担心随机数的兼容性，您可能会发现 this article有趣的。