Карточка Middle Безопасность фронтенда обновлено
CSP
Вопрос
Что такое Content Security Policy?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
HTTP-заголовок со списком разрешённых источников скриптов, стилей, картинок, фреймов и т. п. Блокирует инлайн-скрипты без nonce или хеша, поэтому внедрённый код не выполнится.
Ответ
HTTP-заголовок со списком разрешённых источников скриптов, стилей, картинок, фреймов и т. п. Блокирует инлайн-скрипты без nonce или хеша, поэтому внедрённый код не выполнится. Это второй рубеж защиты от XSS, а frame-ancestors ещё и от кликджекинга.
Разбор
Строгая CSP: script-src 'nonce-...' 'strict-dynamic'; object-src 'none'; base-uri 'none'.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.