1

Content-Security-Policyのレポート専用モードを使用すると、Chrome が実行されeval()なくなります。

eval次の例では、2 つのレポート (1 つはインライン スクリプト用、もう 1 つは 用) を取得し、ポップアップを表示することも期待しています。ただし、コンソールには 2 つのレポートしか表示されません。

CSP の使い方が間違っているのでしょうか、それとも Chrome の CSP レポートのみのモードにバグがありますか?

<!DOCTYPE html>
<html>
    <meta http-equiv="Content-Security-Policy-Report-Only"   content="default-src 'self'; report-uri /dummy.html"/>     
    <meta http-equiv="X-Content-Security-Policy-Report-Only" content="default-src 'self'; report-uri /dummy.html"/>     
    <meta http-equiv="X-WebKit-CSP-Report-Only"              content="default-src 'self'; report-uri /dummy.html"/>
    <head>
        <script>
            eval('alert(1);');  
        </script>
    </head>
</html>
4

1 に答える 1

1

これを複製できます。 https://bugs.webkit.org/show_bug.cgi?id=111867に提出しました。すぐに修正します。それは私の側の単純な見落としです。申し訳ありません。

于 2013-03-08T17:37:40.953 に答える