JavaScript · Senior · Pytanie 65 z 75
Jak nonce w CSP dopuszcza konkretne skrypty inline?
Content-Security-Policy: script-src 'nonce-r4nd0m'
<script nonce="r4nd0m">...</script>- ✓Poprawna odpowiedź: Uruchamiają się tylko skrypty z losowym nonce danej odpowiedzi; wstrzyknięte skrypty bez niego są blokowane
- 2Nonce szyfruje skrypt
- 3Nonce wyłącza CSP dla całej strony
Wyjaśnienie
Nonce musi być nieprzewidywalny i generowany dla każdej odpowiedzi, przez co strony stają się dynamiczne. 'strict-dynamic' pozwala zaufanym skryptom ładować kolejne skrypty.