Browser und Performance · Senior · Frage 45 von 75
Warum lassen sich CSPs mit Host-Allowlist wie script-src 'self' https://cdn.example.com oft umgehen?
- 1Browser ignorieren Host-Listen in CSP-Headern
- 2Host-Listen gelten nur für Bilder, nicht für Skripte
- 3Erlaubte Hosts liefern eventuell JSONP oder Skript-Gadgets
Antwort zeigen
Richtige Antwort: Erlaubte Hosts liefern eventuell JSONP oder Skript-Gadgets
Erklärung
Forschung ergab, dass sich die meisten Allowlist-basierten Richtlinien umgehen ließen. Strikte CSP mit Nonces oder Hashes vermeidet das.