Веб-безпека · Junior · Запитання 67 з 75
Чому 'unsafe-inline' у script-src так сильно послаблює CSP?
- ✓Правильна відповідь: Він дозволяє будь-які inline-скрипти, а саме такими є більшість XSS-навантажень
- 2Через нього сторінка вантажиться повільніше
- 3Він вимикає HTTPS на сторінці
Пояснення
З 'unsafe-inline' впроваджений <script> чи обробник onerror знову виконуються. Nonce чи хеші дозволяють ваш власний inline-код, не відчиняючи цих дверей.