Bezpieczeństwo aplikacji webowych · Senior · Pytanie 14 z 75
Dlaczego CSP dopuszczającą https://cdn.jsdelivr.net da się obejść?
- ✓Poprawna odpowiedź: Każdy może tam opublikować pakiet, więc atakujący załaduje własny skrypt lub starą bibliotekę ze znanymi gadżetami
- 2Bo przeglądarki ignorują domeny w CSP
- 3Bo CDN nie obsługują HTTPS
Wyjaśnienie
Publiczne CDN i domeny z endpointami JSONP sprawiają, że listy hostów są niebezpieczne. Przypinaj pliki przez SRI albo przejdź na nonce z 'strict-dynamic'.