Веб-безпека · Senior · Запитання 13 з 75
Політика використовує nonce, але HTML-сторінку кешує CDN і віддає багатьом користувачам. Що не так?
- 1Нічого, nonce розраховані на кешування
- ✓Правильна відповідь: Усі отримують той самий nonce, тож зловмисник може його дізнатися й використати у впровадженому скрипті
- 3CDN автоматично прибирає заголовки CSP
Пояснення
Nonce мають бути унікальними для кожної відповіді. Для кешованих сторінок використовуйте CSP на хешах або не кешуйте HTML.