- Порезанный
- 20 августа 2026 г. в 05:10 UTC
- Автор
- Kamo
- Обещать
- 3d44d3f
Очистка заголовка «Никакой контент-безопасность-политика» с помощью директивы Trusted Types «Найти», переместив «типы, которым доверяют», в принудительную политику. Это подтверждается доказательствами, а не второй догадкой. Отправлено только сообщение Во-первых, консоль вернулась с нарушениями ZERO Trusted Types. Необходимое доказательство: только отчет регистрирует нарушение для каждой раковины без политики, поэтому никакие нарушения не означают, что политика по умолчанию была установлена заранее. всех из них. Что сделало это правдой, так это выпадение следующего/сценария для простой строки <script> в <head>. check-trusted-types-order.mjs удерживает размещение. Также сужает скрипт-src от хостов к путям, что является «списками разрешений хоста». Часто «обходят» находку, воспринимаемую буквально. На сайте theme.kamocrm.com это было не гипотетически: это тема орга ведро, арендаторы белых ярлыков загружают свои Собственные активы в него и "script-src https://theme.kamocrm.com" поэтому пусть любой Арендатор уронит файл .js в свое ведро и заставит этот сайт выполнить его. Только /public/widget/ теперь исполняется - погрузчик и его хешированный пакет живут Там — и аналитика прикрепляется к точному файлу трекера.