Браузер і продуктивність · Middle · Запитання 60 з 75
Чому CSP із 'unsafe-inline' у script-src майже не захищає від XSS?
- 1Вона працює лише у Firefox
- ✓Правильна відповідь: Впроваджені inline-скрипти й атрибути обробників подій можуть виконуватися
- 3Вона блокує всі зовнішні скрипти й ламає сайт
Пояснення
Більшість XSS-пейлоадів - inline. Використовуйте nonce чи хеші, щоб виконувалися лише скрипти, які додали ви.