apache 2 script-src 内容安全策略中的权限问题

Question

我需要为客户实施内容安全策略。

除了 js 脚本之外，一切都运行良好。我需要允许外部 js 脚本。

我的虚拟主机 apache 中的代码：

Header set X-Content-Type-Options: "nosniff" 
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" 
Header set Content-Security-Policy "default-src 'self' https:// multiple domains ; img-src 'self' www.googletagmanager.com ; style-src 'self' 'unsafe-inline' ; script-src *  'self' 'unsafe-inline'; connect-src 'self' https://www.google-analytics.com https://www.googletagmanager.com/gtag/js ; object-src 'self'; form-action 'self' " 
Header set X-Frame-Options: "sameorigin" 
Header set X-XSS-Protection "1; mode=block"      
Options FollowSymLinks MultiViews 
AllowOverride All

我补充说：

script-src * 'self' 'unsafe-inline';

但是，我仍然收到错误消息：

Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: "script-src 'self'.

该怎么办？

提前致谢

Answer 1

你基本上有两个选择：

1. 良好且安全的选择：按照此处的说明重写 eval 语句 https://web.dev/csp/#eval-too
2. 糟糕且不安全的选项：将 'unsafe-eval' 添加到 script-src