ฉันมีร้านค้าที่ใช้งานได้ดีกับ Magento รุ่นล่าสุด (ปัจจุบัน 2.1.1) และฉันพยายามปรับปรุงความปลอดภัยผ่านนโยบายความปลอดภัยเนื้อหาใน Apache 2.4.7 (Ubuntu 14.04) ฉันลบแท็ก "<script>" ทั้งหมดออกจากหน้าเนื้อหาและสร้าง files.js ที่แยกจากกัน
ในเรื่องความปลอดภัยของ Apache ฉันได้ตั้งค่าไว้:
ส่วนหัวตั้งนโยบายความปลอดภัยเนื้อหา "default-src 'self'"
อย่างไรก็ตามมันไม่ทำงาน ดูเหมือนว่าวีโอไอพีเองจะเพิ่มแท็ก "<script>" บางส่วน ตัวอย่างจากบรรทัดซอร์สแรกสุด:
<! doctype html>
<html lang = "pt-BR">
<head>
<script>
var ต้องการ = {
"baseUrl": " http://example.com/pub/static/frontend/Magento/luma/pt_BR "
}; </ script>
ดังนั้นฉันจึงดูเหมือนว่าเพื่อให้มีการกำหนดค่า CSP ฉันต้องเปิดใช้งาน "ไม่ปลอดภัยแบบอินไลน์" ซึ่งไม่ปลอดภัยจริง ๆ หลังจากทั้งหมด
ส่วนหัวตั้งนโยบายความปลอดภัยของเนื้อหา "default-src 'self' script-src 'self' 'unsafe-inline' 'unsafe-eval'"
ไม่มีใครรู้วิธีการตั้งค่าวีโอไอพีอย่างถูกต้องกับ CSP? ขอบคุณ!