Що станеться з alert(1) , вписаним у сторінку, за Content-Security-Policy: script-src 'self'?

Він не виконається: inline-скрипти блокуються, якщо їх не дозволено через nonce, хеш чи 'unsafe-inline'

Виконається, бо inline-код належить тому самому origin

Виконається лише в Chrome

Веб-безпека · Junior · Запитання 64 з 75

Що станеться з `<script>alert(1)</script>`, вписаним у сторінку, за `Content-Security-Policy: script-src 'self'`?

1Виконається, бо inline-код належить тому самому origin
2Виконається лише в Chrome
✓Правильна відповідь: Він не виконається: inline-скрипти блокуються, якщо їх не дозволено через nonce, хеш чи 'unsafe-inline'

Саме блокування inline-скриптів робить CSP корисною проти XSS. Inline-обробники подій на кшталт onclick теж блокуються.