javascript – Microsoft Edge不接受内容安全策略的哈希值

问题

Content-Security-Policy应默认将脚本和样式解析列入黑名单,并根据各种指令允许它,其中一个指令被验证为预期输出的散列.浏览器必须无法实现任何未提前匹配哈希的Javascript或CSS.具有匹配哈希的代码应该正常执行. Microsoft Edge拒绝所有JS / CSS页内块.

>说明访问Microsoft Edge中的以下实时演示链接,以及任何其他浏览器.
>现场演示：http://output.jsbin.com/biqidoqebu

演示原始源代码

<!doctype html>
<html>
<head>
<Meta charset="utf-8" />
<Meta http-equiv="Content-Security-Policy" content="default-src 'self'; style-src 'sha256-JtUhvM7uQO2KX5IEGWxN+rheyzzsyFelfO2gXvYEuWA='; script-src https://ajax.googleapis.com 'sha256-iZzrsbzuGxfOaTdnB/E6RQBssyXQRp7W8YtZD2Wg/Rc=';" />
<Meta http-equiv="X-Content-Security-Policy" content="default-src 'self'; style-src 'sha256-JtUhvM7uQO2KX5IEGWxN+rheyzzsyFelfO2gXvYEuWA='; script-src https://ajax.googleapis.com 'sha256-iZzrsbzuGxfOaTdnB/E6RQBssyXQRp7W8YtZD2Wg/Rc=';" />
<style>#loading{color:transparent}#loading:after{color:green;content:"Style loaded."}</style>
</head>
<body>
<span id="loading">Hashes loading...</span>
<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.1.4/jquery.min.js"></script>
<script>alert("Script loaded.")</script>

>预期的行为：正文应该更改为“样式加载.”,警告框应该说“脚本已加载.”,外部Javascript不应该抛出错误.控制台显示没有问题.
>实际行为：身体卡在“哈希加载……”上.哈希被拒绝,外部Javascript被接受.控制台显示错误：

CSP14304：未知来源”sha256-JtUhvM7uQO2KX5IEGWxN rheyzzsyFelfO2gXvYEuWA =”指令’style-src’in-source将被忽略.

CSP14306：没有为指令’style-src’指定的源 – 这相当于使用’none’并且将阻止下载此类型的所有资源.

CSP14304：未知源”sha256-iZzrsbzuGxfOaTdnB / E6RQBssyXQRp7W8YtZD2Wg / Rc =”用于指令’script-src’in-source将被忽略.

CSP14312：资源违反指令’style-src’sha256-JtUhvM7uQO2KX5IEGWxN rheyzzsyFelfO2gXvYEuWA =”in：inline style.资源将被阻止.

CSP14312：资源违反指令’script-src LINK-REMOVED-INSUFFICIENT-REPUTATION-ON-STACKOVERFLOW-SHOULD-BE-THE-GOOGLE-API-URL’sha256-iZzrsbzuGxfOaTdnB / E6RQBssyXQRp7W8YtZD2Wg / Rc =”in：inline script.资源将被阻止.

试图修复

>验证哈希是否正确：双重检查计算是二进制的,就是它.没什么可做的,其他浏览器都接受它们.
>将default-src和connect-src的值更改为self而不是none

我想不出任何其他的尝试.

24小时后更新：添加了X-Content-Security-Policy以保证完整性和安全性. JSBin URL已更新,但它对这种特定情况没有任何影响.

解决方法

编辑：这可能是不正确的.见上面的评论.

IE 11不支持Content-Security-Policy(仅限X-Content-Security-Policy),此操作无法打开.
IE 12支持CSP,但没有grok nonces / hashes,它关闭失败…除非你还在Content-Security-Policy头中提供’unsafe-inline’.

CSP级别2表示“如果提供了散列或随机数,则忽略’unsafe-inline’.”这是为了向后兼容,因为较旧的浏览器会识别’unsafe-inline’而不是nonce / hashes.见http://www.w3.org/TR/CSP2/#directive-script-src

javascript – Microsoft Edge不接受内容安全策略的哈希值

解决方法

相关文章