Bezpieczeństwo aplikacji webowych · Junior · Pytanie 67 z 75
Dlaczego dodanie 'unsafe-inline' do script-src tak bardzo osłabia CSP?
- ✓Poprawna odpowiedź: Pozwala na dowolny skrypt inline, a takie właśnie są ładunki większości ataków XSS
- 2Spowalnia ładowanie strony
- 3Wyłącza HTTPS na stronie
Wyjaśnienie
Z 'unsafe-inline' wstrzyknięty <script> lub handler onerror znów się wykonuje. Nonce lub hashe dopuszczają Twój własny kod inline bez otwierania tych drzwi.