Sicherheit von Webanwendungen · Junior · Frage 64 von 75
Was passiert mit Content-Security-Policy: script-src 'self' mit <script>alert(1)</script>, das in die Seite geschrieben wurde?
- 1Es läuft, weil Inline-Code zum selben Origin gehört
- 2Es läuft, aber nur in Chrome und anderen Chromium-Browsern
- 3Es läuft nicht: Inline-Skripte brauchen ein Nonce oder einen Hash
Antwort zeigen
Richtige Antwort: Es läuft nicht: Inline-Skripte brauchen ein Nonce oder einen Hash
Erklärung
Inline-Skripte zu blockieren macht CSP gegen XSS nützlich. Inline-Event-Handler wie onclick werden ebenfalls blockiert.