Политика конфиденциальности содержимого с закрытием Google

Question

Я пытаюсь включить CSP для своего веб-приложения. Моя политика - это что-то вроде:

"default-src 'self' gap: cdvfile :;"

Я использую закрытие Google для javascript. Однако без оптимизации яваскрипта, My JS заблокирован из-за:

goog.json.parse использует Eval()

Если я компилирую мой код с Closure Compiler, нет никакого вопроса, как заранее компилировать , eval() не используется. (Используется JSON.parse)

Я знаю, как обходной путь, я могу использовать sha256-..... или nonce=.....

Есть ли другой способ, я могу использовать CSP без использования sha.. или nonce...

Answer 1

Я считаю, что если вы добавите goog.json.USE_NATIVE_JSON = true; к своему коду, что он не будет использовать eval.