javascript - 用于动态加载 CSS 的 CSP

Question

所以我从第三方将 JavaScript 文件加载到我的应用程序中，该应用程序将 iframe 注入(inject)页面。当该 iframe 加载时，它会加载自己的 JavaScript，该 JavaScript 在父窗口中创建一个内联样式标签。

由于这个流程，我必须在我的 style-src 指令的内容安全策略中包含 "unsafe-inline"。是否有类似 strict-dynamic 的东西适用于像这样加载的样式？或者是否有某种解决方案，我不必在我的 CSP 中列出 "unsafe-inline" 仍然允许这个样式表？

我能想到的最好办法是每隔几个小时扫描一次这个重定向的文件并生成子资源完整性哈希，以便定期将其注入(inject)我的 CSP，但这看起来真的很脆弱。

Answer 1

通过 CSS 对象模型 (CSSOM) 设置 CSS 适用于 CSP。因此:

document.getElementById(id).style.left = '343px';

在这种情况下，您可能必须说服第 3 方 vendor 更改他们的 JavaScript。

来源:https://stackoverflow.com/a/29089970/339440