Sicherheit von Webanwendungen · Junior · Frage 67 von 75
Warum schwächt 'unsafe-inline' in script-src die CSP so stark?
- 1Es erlaubt jedes Inline-Skript, und die meisten XSS-Payloads sind genau das
- 2Es lässt die ganze Seite in Browsern spürbar langsamer laden
- 3Es schaltet HTTPS auf der Seite und allen Unterressourcen ab
Antwort zeigen
Richtige Antwort: Es erlaubt jedes Inline-Skript, und die meisten XSS-Payloads sind genau das
Erklärung
Mit 'unsafe-inline' läuft ein eingeschleustes <script> oder ein Handler onerror wieder. Nonces oder Hashes erlauben eigenen Inline-Code, ohne diese Tür zu öffnen.