Карточка Senior XSS и CSP обновлено
Строгая CSP
Вопрос
Как выглядит рекомендуемая строгая CSP и почему именно так?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
script-src 'nonce-{случайный}' 'strict-dynamic'; object-src 'none'; base-uri 'none'. Nonce разрешает только свои скрипты, strict-dynamic даёт им грузить зависимости, а object-src и base-uri закрывают обходы через плагины и подмену base.
Ответ
script-src 'nonce-{случайный}' 'strict-dynamic'; object-src 'none'; base-uri 'none'. Nonce разрешает только свои скрипты, strict-dynamic даёт им грузить зависимости, а object-src и base-uri закрывают обходы через плагины и подмену base.
Разбор
Внедряют через Report-Only, собирают нарушения и только потом включают блокировку.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.