Получите одноразовый CSP, работающий с Rails javascript_packs_with_chunks_tag - PullRequest
Новая
       48

Получите одноразовый CSP, работающий с Rails javascript_packs_with_chunks_tag

0 голосов
/ 27 марта 2020

Я использую Rails 5.2 с webpacker 4 и недавно переключился на использование splitChunks. Теперь мои веб-страницы ссылаются на мой веб-пакет, используя javascript_packs_with_chunks_tag.

Теперь, когда я хочу начать использовать CSP (Content Security Policy) с гемом SecureHeaders, я сталкиваюсь с ошибками CSP: 

homepage-5879edcf6f8ba98035c2.chunk.js:2 
[Report Only] Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: "script-src 'self' 'nonce-dlcwKLQTKthCJgmDqEWu1SX05nIjRY/9r+6ixP5CP4A=' 'unsafe-inline'".

Я знаю, что в геме SecureHeaders есть вспомогательный метод nonce для обычных тегов javascript: nonced_javascript_include_tag.

Кто-нибудь знает, как добавить nonce в javascript_packs_with_chunks_tag, чтобы устранить эту ошибку?

...