Веб-безпека · Senior · Запитання 14 з 75
Чому CSP, що дозволяє https://cdn.jsdelivr.net, можна обійти?
- ✓Правильна відповідь: Там будь-хто може опублікувати пакет, тож зловмисник завантажить свій скрипт чи стару бібліотеку з відомими гаджетами
- 2Бо браузери ігнорують домени в CSP
- 3Бо CDN не підтримують HTTPS
Пояснення
Публічні CDN і домени з JSONP-ендпоїнтами роблять списки хостів небезпечними. Фіксуйте файли через SRI або переходьте на nonce з 'strict-dynamic'.