Политика безопасности контента
В настоящее время я реализую CSP (политику безопасности контента) для своего проекта, и я решил реализовать nonce для всех встроенных скриптов, которые нельзя убрать с веб-страницы. Пытаясь реализовать nonce для классических страниц aspx, есть несколько мест, где менеджер скриптов включается для использования инструментария ajaxcontrol, и они генерируют тег в html.
Поскольку у меня есть реализация nonce, мне нужно добавить атрибут nonce в тег скрипта, чтобы предотвратить блокировку CSP. Я изучал это в течение 2 дней, и я не нашел для этого никаких предложений / решений.
Обновлено:
Я создаю одноразовый номер с помощью промежуточного программного обеспечения OWIN. Тег мета создается динамически и добавляется к тегу мета во время загрузки главной страницы.
Любая помощь будет оценена.
Спасибо
Я использую IIS ..
![Безумие обратных вызовов в javascript [JS]](https://i.imgur.com/WsjO6zJb.png)
Ответы 2
В IIS 7 и более поздних версиях вы можете использовать модуль перезаписи URL для определения исходящих правил, которые позволяют изменять разметку на лету:
Вот пример перезаписи тегов изображений:
http://marisks.net/2017/05/14/changing-static-resource-urls-to-cdn-urls-with-url-rewrite/
Спасибо за Ваш ответ. Но в моем случае мне просто нужно включить атрибут «nonce» в тег скрипта, чтобы внести его в белый список, потому что я использую политику безопасности контента с nonce для внесения в белый список встроенных скриптов. Теги сценария, сгенерированные элементами управления, использующими диспетчер сценариев, не получают этот атрибут, поскольку они отображаются на странице динамически. Будет ли эта перезапись URL работать даже для манипулирования тегами скрипта, созданными динамически? А также я динамически генерирую одноразовый номер, который будет меняться для каждого запроса. Также есть способ сделать это программно? поделитесь своими мыслями.
После обсуждения с сообществом Microsoft было установлено, что нет возможности интерпретировать тег скрипта, созданный динамически. Так что на данный момент это невозможно. буду держать вас в курсе, ребята, если я найду какое-либо решение, или если у вас, ребята, есть предложение или обходной путь, не стесняйтесь размещать его здесь. Спасибо за вашу помощь
Какой веб-сервер вы используете?