Веб-безпека · Middle · Запитання 16 з 75
Чому CSP на кшталт script-src 'self' https://cdn.example.com https://www.google.com вважають слабкою?
- 1Бо CSP не підтримує більше одного хоста
- ✓Правильна відповідь: Дозволені хости часто мають JSONP-ендпоїнти чи старі бібліотеки, якими зловмисник може виконати код
- 3Бо домени Google блокуються CSP
Пояснення
Дослідження показали, що більшість політик зі списками хостів так можна обійти. Рекомендований підхід - nonce чи хеші з 'strict-dynamic'.