Przeglądarka i wydajność · Middle · Pytanie 61 z 75
Jak CSP oparta na nonce decyduje, które skrypty inline mogą działać?
Content-Security-Policy: script-src 'nonce-r4nd0m'
<script nonce="r4nd0m">init()</script>- 1Skrypty działają, jeśli ich treść pasuje do ciągu nonce
- ✓Poprawna odpowiedź: Działają tylko skrypty z losowym nonce z nagłówka tej odpowiedzi; nonce musi być nowy w każdej odpowiedzi
- 3Wszystkie skrypty inline działają, gdy nonce jest ustawiony na dowolnym skrypcie
Wyjaśnienie
Atakujący nie zgadnie świeżego losowego nonce. Ponowne użycie tego samego nonce w różnych odpowiedziach niweczy ochronę.