Chính sách bảo mật nội dung có chặn các dấu trang không?

Question

Hiện tại Mozillas CSP có chặn thực thi Javascript from a bookmark theo mặc định không?

Có thể định cấu hình để làm như vậy không?

Answer 1

Tính đến năm 2017, câu trả lời là vẫn còn là một dứt khoát "có thể" - giống như khi câu trả lời này ban đầu được đăng tải trong năm 2011. Các specification nói rõ:

Chính sách được thực thi trên một tài nguyên không nên can thiệp với hoạt động của các tính năng tác nhân người dùng như tiện ích mở rộng, tiện ích mở rộng hoặc dấu trang.

Và đây thực sự là hành vi tôi thấy trong Chrome 61: bookmarklet sẽ chạy trên https://addons.mozilla.org/, một trang web mà có một chính sách bảo mật nội dung nghiêm ngặt mà không script-src: 'unsafe-inline'. Tuy nhiên, trong Firefox 56 bookmarklet sẽ không chạy trên trang web này và vi phạm CSP đang được báo cáo.

Có một cuộc thảo luận rất dài về vấn đề này trong số Firefox bug report, cụ thể là liên kết với một số similar discussion on the W3C spec. Vì vậy, bây giờ, bạn không thể thực sự dựa vào bookmarklets không bị ảnh hưởng bởi CSP. Bạn luôn có thể vô hiệu hóa CSP hoàn toàn, nhưng đó là một lớp bảo vệ quan trọng ít hơn cho bạn.

Answer 2

Hành vi được chỉ định trong mozillas wiki.

CSP không được can thiệp vào hoạt động của tập lệnh do người dùng cung cấp (chẳng hạn như trình cắm bổ trợ trình duyệt và dấu trang).

Có một cái nhìn ở đây: https://wiki.mozilla.org/Security/CSP/Specification#Non-Normative_Client-Side_Considerations

Answer 3

Vâng, các khối CSP bookmarklets trong Mozilla Firefox. Có một số bug about it.

Tuy nhiên, bạn có thể khắc phục hạn chế này bằng cách tiêm mã JS vào một CSS stylesheet bên ngoài, như Top News Feed bookmarklet tôi làm:

CSS bên ngoài:

#topnewsfeed { font-family: '(function(){/*payload*/})()'; } 

Bookmarklet JS:

(function() { 
    var a = document.createElement("link"); 
    a.rel = "stylesheet"; 
    a.href = "//niutech.github.io/topnewsfeed/topnewsfeed.css"; 
    a.onload = function() { 
     var a = b.currentStyle ? b.currentStyle.fontFamily : document.defaultView.getComputedStyle(b, null).fontFamily; 
     eval(a.replace(/^["']|\\|["']$/g, "")); 
    }; 
    document.body.appendChild(a); 
    var b = document.createElement("div"); 
    b.id = "topnewsfeed"; 
    document.body.appendChild(b); 
})() 

Dấu trang tải một tệp CSS chứa mã JS, thêm phần tử được tạo kiểu bởi CSS này, đọc thuộc tính kiểu phần tử và eval mã.

Answer 4

Tôi đã tạo "sửa lỗi" xung quanh nơi làm việc cho vấn đề này bằng cách sử dụng một người dùng Greasemonkey (trong Firefox). Giờ đây, bạn có thể có dấu trang trên tất cả các trang CSP và https: //, cộng với dấu trang của bạn trong một tệp thư viện đẹp, dễ chỉnh sửa thay vì được phân tách riêng thành dấu trang.

Xem: https://groups.google.com/d/msg/greasemonkey-users/mw61Ynw5ORc/Gl_BNUhtSq0J