सामग्री सुरक्षा नीति में व्हाइटलिस्ट एकाधिक डोमेन

Question

मैं क्रोम एक्सटेंशन लिख रहा हूं जिसमें सामग्री सुरक्षा नीति के लिए श्वेतसूची में दो डोमेन होने की आवश्यकता है। मैंने आधिकारिक दस्तावेज़ों को देखा है, लेकिन मुझे अभी भी उचित वाक्यविन्यास का पता लगाना प्रतीत नहीं होता है।

निम्नलिखित काम करने के लिए प्रतीत नहीं होता:

"content_security_policy": "script-src 'self' https://foo.com https://example.com; object-src 'self'" 

संपादित करें:

दोनों मेरी सामग्री स्क्रिप्ट और मेरे पॉपअप, तथापि, न पहुँच सकते हैं foo.com तक पहुँचने में सक्षम हैं example.com ।

क्रोम एक्सटेंशन सीएसपी में एकाधिक स्रोतों को श्वेतसूची में रखने में सक्षम हैं?

Answer 1

सीएसपी के बारे में मुझे क्या पता है, यह वाक्य रचनात्मक रूप से सही दिखता है। HTML5 Rocks article on CSP आपके वाक्यविन्यास से सहमत है, कह रहा है:

script-src https://host1.com https://host2.com दोनों उत्पत्ति को मान्य के रूप में सही ढंग से निर्दिष्ट करेगा।

हालांकि, अपने समस्या हो सकती है, जिन्होंने:

1. यह सीएसपी disallows all subdomains, www.foo.com और www.example.com भी शामिल है। आप उन सबडोमेन होस्टनामों को स्पष्ट रूप से जोड़ सकते हैं, या आप सभी सबडोमेन को अनुमति देने के लिए https://*.foo.com का उपयोग कर सकते हैं।

2. यदि आपकी कोई भी स्क्रिप्ट अनुरोध गैर-अनुमत डोमेन पर रीडायरेक्ट करता है, तो अनुरोध विफल हो जाएगा। उदाहरण के लिए, यदि https://example.com/foo.js एक 301 या 302 रीडायरेक्ट के https://notpermitted.com/foo.js (नहीं-अनुमति दी मूल) या https://www.example.com/foo.js (जिनकी अनुमति नहीं उप डोमेन) के साथ प्रतिक्रिया करता है, अनुरोध according to the spec असफल हो जायेगी:

   जब भी उपयोगकर्ता एजेंट यूआरआई को हासिल करेगा (रीडायरेक्ट) निम्नलिखित सहित ... अगर यूआरआई अनुमति स्क्रिप्ट स्रोतों से मेल नहीं खाता, उपयोगकर्ता एजेंट कार्य करना चाहिए जैसे कि वह एक खाली HTTP 400 प्रतिक्रिया प्राप्त किया था ...

संपादित करें:

बस पुष्टि करने के लिए, हाँ, क्रोम एक्सटेंशन एकाधिक HTTPS उत्पत्ति को श्वेतसूची में डाल सकते हैं। आप परीक्षण करने के लिए एक सरल विस्तार का निर्माण कर सकते इस:

manifest.json

{ 
    "name":"CSP Test", 
    "version":"1.0", 
    "manifest_version":2, 
    "browser_action":{ 
     "default_popup":"csp_test.html" 
    }, 
    "content_security_policy": "script-src 'self' https://www.iana.org https://ajax.googleapis.com; object-src 'self'" 
} 

csp_test.html

<script src="https://www.iana.org/_js/2013.1/jquery.js"></script> 
<script src="https://ajax.googleapis.com/ajax/libs/jqueryui/1.10.3/jquery-ui.min.js"></script> 
<script src="csp_test.js"></script> 

csp_test.js

alert(jQuery) 
alert(jQuery.ui) 

यह एक्सटेंशन दूरस्थ डोमेन से jQuery और jQuery UI को लोड करता है।यदि आप सीएसपी से मूल को हटाते हैं, तो आपको एक "undefined" चेतावनी दिखाई देगी जो संकेत देती है कि पुस्तकालयों में से एक लोड होने में विफल रहा है।