Browser und Performance · Middle · Frage 61 von 75
Wie entscheidet eine Nonce-basierte CSP, welche Inline-Skripte laufen dürfen?
Content-Security-Policy: script-src 'nonce-r4nd0m'
<script nonce="r4nd0m">init()</script>- 1Skripte laufen, wenn ihr Inhalt dem Nonce-String entspricht
- 2Nur Skripte mit der zufälligen Nonce dieser Antwort laufen
- 3Alle Inline-Skripte laufen, sobald eines die Nonce hat
Antwort zeigen
Richtige Antwort: Nur Skripte mit der zufälligen Nonce dieser Antwort laufen
Erklärung
Ein Angreifer kann eine frische zufällige Nonce nicht erraten. Dieselbe Nonce in mehreren Antworten wiederzuverwenden hebelt den Schutz aus.