- 관련 상품
- 2026년 8월 20일 오전 3:59 UTC
- 이름 *
- Kamo
- 뚱 베어
- b34d847
신뢰와 안전 감사의 세 가지 헤더를 추가, 플러스 Referrer-Policy 및 권한 정책. 본 방침의 모든 기원은 사이트가 실제로 추측보다로드하는 것에서 - 채팅 위젯 번들 theme.kamocrm.com에 (웹소켓을 미디어에 엽니 다. 그리고 api를 호출합니다. 그리고 capcha.), 분석 스크립트., 영웅의 HLS 사다리, 그리고 ***의 도전 종료점. 완성 된 정책에 대한 내장 된 페이지를 감사 자원 자원 : 0 블록. script-src 'unsafe-inline'에 - 이것은 실제 타협과 침식의 가치입니다 burying 보다는 오히려. CSP의 강력한 형태는 1 응답 nonce입니다 'strict-dynamic', 그리고 여기에 사용할 수 없습니다: nonce 의미 읽기 헤더 () 렌더링 중, 정적 세대의 경로를 선택. 이 앱은 ~200 사전 렌더링 된 경로와 정적은 로드 베어링 - 동적 경로 아무 선적 경계 prefetches 아무것도, 그래서 모든 링크 클릭 시작 감기. 더 보기 인라인 스크립트가 차세대 RSC이기 때문에 해시 기반 탈출은 없습니다. 비행데이터, 그 내용이 페이지마다 다르며, 빌드당. 그래서: 이 CSP는 주사된 인라인 스크립트를 멈추지 않습니다. 그것은 confine 이다 모든 외부 스크립트, fetch, 프레임, 이미지 및 미디어 부하 알려진 원산지, forbid 플러그인, 기본 URI를 핀 그래서 주사 마크 업은 상대를 다시 루트 수 없습니다 URL 및 중지 양식 게시물을 제 3자에게. TRUSTED TYPES는 안전한 세 가지 시도를했고 실패는 흥미로운 부분 : 1. 배치의 <head>에서 첫번째로 일반 인라인 <script>는 첫번째가 아닙니다. 지원하다 호이스트 다음의 `<script async src>` 태그는 어떤 레이아웃 렌더링, 그래서 정책은 12 후 착륙 — and async scripts performs 순간 그들은 다운로드 완료. Turbopack의 런타임은 그들 중이며, `createElement("script")`를 설정하면 `.src`를 설정하고, 정확한 싱크는 정책없이. 2. 전략 = "beforeInteractive"를 가진 `next/script`는 그것을 하나 움직이지 않았습니다; 여전히 12개의 스크립트가 앞서 있습니다. 3. 안전은 어떤 수채가 일찍 불을 수 없다. 전체 78 항공편 데이터 pushes are in the body — first at offset 193,072, 와 </head> 에 11,940 — 그래서 React는 정책이 설치 된 후 잘 수화를 시작할 수 없습니다. 그리고 그것이 전에 <head>에 있는 수채 접촉 부호가 없습니다. 확인 된 가정보다 HTML을 내장. 두 가지는 흠뻑 취하지 않고 끊을 것입니다. The *** 위젯은 Svelte build and create a policy called `svelte-trusted-html`; 정책 이름은 runtime string, 그래서 유형, lint 또는 빌드의 표면에 대해 아무것도, 허용 목록에서 그것을 던지고 접촉과 데모를 찍을 것입니다 아래 양식. 그리고 hls.js와 *** 모두에서 웹 노동자를 구축 createObjectURL, 그래서 정책은 "blob:"를 전달해야 소스 테스트 — a blob: URL은 유용하지 않습니다 .origin 및 그렇지 않으면 실패, 복용 영웅 릴 그것. 정책의 createScriptURL은 엄격히 kamocrm.com에 대해 확인됩니다. script-src 보다는 더 많은 permissive, 그래서 그것은 CSP 무언가를 거절할 수 없습니다 수 있습니다. createHTML은 통과하고 위생하지 않습니다 : 실제 sanitiser는 중요한 경로에 발송하고 JSON-LD 블록을 조용히 짝지어줄 수 있습니다. 그리고 위젯의 마크 업. 반은 chokepoint이고 감사 걸이, 아닙니다 필터 — 그리고 그것은 어디 다음을 harden. Cross-Origin-Resource-Policy가 작성되었습니다. 주변기기 `/:path*`는 Open Graph 이미지를 다룹니다. 다른 근원에서 끼워넣어. frame-ancestors는 X-Frame-Options와 일치하기 위해 'self'입니다. SAMEORIGIN은 이미 존재합니다. 'none'으로 바짝 죄지어주지 않는 아무도를 끊기지 않는. 실제 독립 서버에 대해 확인, 그냥 설정하지: 헤더 현재 우선 노선과 *** 노선 모두에, 그리고 오래 살아있는 자산 캐시 제어 여전히 intact.