Bezpieczeństwo aplikacji webowych · Junior · Pytanie 64 z 75
Co stanie się z <script>alert(1)</script> wpisanym w stronę przy Content-Security-Policy: script-src 'self'?
- 1Wykona się, bo kod inline należy do tego samego originu
- 2Wykona się tylko w Chrome
- ✓Poprawna odpowiedź: Nie wykona się: skrypty inline są blokowane, chyba że dopuści je nonce, hash lub
'unsafe-inline'
Wyjaśnienie
Właśnie blokowanie skryptów inline sprawia, że CSP jest przydatna przeciw XSS. Handlery inline, jak onclick, też są blokowane.