Настройки CSP для Quantcast

Question

Я интегрирую на своем веб-сайте скрипт Quantcast для отслеживания аудиторий. Когда страница загружается в браузере, я получаю ошибку ниже. Я знаю, что это сценарий, закодированный как base64, но как я могу разрешить его выполнение с использованием заголовков CSP и CORS?

Отказался, чтобы загрузить скрипт «данных: приложение/JavaScript; base64, ZnVuY3Rpb24gcXVhbnRzZXJ2ZSgpe30 =» , поскольку оно нарушает следующее содержание директивы политики безопасности: «скрипт-Src„сам“„небезопасным-рядный“«небезопасным -eval '* .cloudflare.com * .quantserve.com ".

Вот мои заголовки:

headers { 
    contentSecurityPolicy = "default-src 'self' *.cloudflare.com *.quantserve.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" img-src 'self' *.fbcdn.net *.twimg.com *.googleusercontent.com *.xingassets.com *.vk.com *.yimg.com secure.gravatar.com *.stuffpoint.com *.pixabay.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" style-src 'self' 'unsafe-inline' cdnjs.cloudflare.com maxcdn.bootstrapcdn.com cdn.jsdelivr.net fonts.googleapis.com edge.quantserve.com;;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" font-src 'self' fonts.gstatic.com fonts.googleapis.com cdnjs.cloudflare.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" script-src 'self' 'unsafe-inline' 'unsafe-eval' *.cloudflare.com *.quantserve.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" connect-src 'self' twitter.com *.xing.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" frame-src 'self' 'unsafe-inline' 'unsafe-eval' edge.quantserve.com;" 
} 

Answer 1

Добавить data: в script-src линии.

contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" script-src 'self' 'unsafe-inline' 'unsafe-eval' data: *.cloudflare.com *.quantserve.com;" 

Примечание: Как правило, это имеет некоторые последствия для безопасности, но ваш script-src настолько разрешительный, что он не предлагает довольно много никакой защиты в любом случае.