Браузер і продуктивність · Middle · Запитання 61 з 75
Як CSP на основі nonce вирішує, яким inline-скриптам можна виконуватися?
Content-Security-Policy: script-src 'nonce-r4nd0m'
<script nonce="r4nd0m">init()</script>- 1Скрипти виконуються, якщо їхній вміст збігається з рядком nonce
- ✓Правильна відповідь: Виконуються лише скрипти з випадковим nonce із заголовка цієї відповіді; nonce має бути новим для кожної відповіді
- 3Усі inline-скрипти виконуються, щойно nonce задано будь-якому скрипту
Пояснення
Зловмисник не вгадає свіжий випадковий nonce. Повторне використання того самого nonce у різних відповідях руйнує захист.