Выбор ответа Junior XSS и CSP обновлено
unsafe-inline в CSP
Вопрос
Чем плоха политика script-src 'self' 'unsafe-inline'?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Разрешает инлайн и обработчики: внедрённый <script или onerror выполнится. Основная ценность CSP против XSS в запрете инлайна без nonce или хеша. unsafe-inline возвращает его.
Варианты ответа
- Она блокирует все скрипты, включая собственные файлы с того же домена
- Она запрещает загрузку скриптов с того же домена и разрешает только инлайн
- Разрешает инлайн и обработчики: внедрённый
<script>илиonerrorвыполнитсяправильный ответ - Она работает только в старых браузерах, а современные её игнорируют
Разбор
Основная ценность CSP против XSS в запрете инлайна без nonce или хеша. unsafe-inline возвращает его. Скрипты с того же домена при этом разрешены через self. С браузерами проблем нет: политика просто слабая.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.