Политика безопасности содержимого игнорируется последним обновлением Chrome

Question

Моя политика CSP игнорируется последней версией Chrome.Сегодня я решил пересоздать политику, чтобы попытаться отладить почему, но, как видно из приведенной ниже ошибки, Chrome советует мне добавить хэш, который уже находится в CSP (см. sha256-idz8mDU5fJ8lJuEwY6hbkXVde / nqBBjQE / u5rxw1HUk = ):

Refused to apply inline style because it violates the following Content Security Policy directive: "style-src 'self' https://pro.fontawesome.com/ 'sha256-LpfmXS+4ZtL2uPRZgkoR29Ghbxcfime/CsD/4w5VujE=' 'sha256-F+21FF3QOEHS5CNuMQEs3Q+LB0uULZF9DODEYnH/mMQ=' 'sha256-5uIP+HBVRu0WW8ep6d6+YVfhgkl0AcIabZrBS5JJAzs=' 'sha256-nK6A3vwzvwoN92MnHZrWtylYkYmW1jCQgTqWKQJNBMI=' 'sha256-idz8mDU5fJ8lJuEwY6hbkXVde/nqBBjQE/u5rxw1HUk='". Either the 'unsafe-inline' keyword, a hash ('sha256-idz8mDU5fJ8lJuEwY6hbkXVde/nqBBjQE/u5rxw1HUk='), or a nonce ('nonce-...') is required to enable inline execution.

Это работает правильно в Firefox и Safari, поэтому я думаю, что в моей политике есть что-то, что заставляет Chrome прекратить чтение значений?

Содержимое моего файла .htaccess:

Header set Content-Security-Policy "default-src 'none'; connect-src 'self'; font-src 'self' https://pro.fontawesome.com/; frame-src 'self'; img-src 'self'; script-src 'self' 'unsafe-eval'; style-src 'self' https://pro.fontawesome.com/ 'sha256-LpfmXS+4ZtL2uPRZgkoR29Ghbxcfime/CsD/4w5VujE=' 'sha256-F+21FF3QOEHS5CNuMQEs3Q+LB0uULZF9DODEYnH/mMQ=' 'sha256-5uIP+HBVRu0WW8ep6d6+YVfhgkl0AcIabZrBS5JJAzs=' 'sha256-nK6A3vwzvwoN92MnHZrWtylYkYmW1jCQgTqWKQJNBMI=' 'sha256-idz8mDU5fJ8lJuEwY6hbkXVde/nqBBjQE/u5rxw1HUk=';"

Любые советы приветствуются.

Answer 1

Я думаю, что этот ресурс отвечает на ваш вопрос:

https://bugs.chromium.org/p/chromium/issues/detail?id=546106

Стили, блокируемые в примерах, являются стилями в атрибуте стиля, Chrome применяет стили только в атрибутах стилякогда unsafe-inline установлен в style-src.Safari ведет себя аналогично, но Firefox применяет стили, если они соответствуют хэшу в 'style-src'.

Спецификация CSP определяет исключения хеша и nonce только для элементов and, а не для атрибутов style и script, поэтомуПоведение Chrome соответствует спецификации.Но сообщение об ошибке, сгенерированное в консоли, неверно (и сбивает с толку).

Похоже, что Chrome соответствует спецификации CSP.Я столкнулся с той же проблемой со встроенными стилями и увидел тот же ответ, что и вы, соответствующие хэши sha256!Мое решение состояло в том, чтобы удалить мои встроенные стили и добавить их в мой CSS, чтобы полностью избежать встроенных стилей.