A dinamikus CSP tesztelése
Posted: Mon Dec 23, 2024 10:31 am
Az oldal frissül, majd ugyanabban a részben konfigurálhatja a beállításokat:
A következő telepítés a CSP nonce-t fogja tartalmazni. Ha webhelye már rendelkezik CSP-vel, ez a bővítmény egyesíti a nonce-t a meglévő irányelveivel.
Ha inkább kódként szeretné konfigurálni, akkor ezt a funkciót a @netlify/plugin-csp-nonce build plugin telepítésével is engedélyezheti .
A Telepítési előnézetben tesztelheti az éles indítás előtt. Ehhez kattintson a Telepítési előnézet tesztelése gombra a Webhely konfigurációja > Építés és telepítés > Tartalombiztonsági házirend alatt . És mivel a Netlify-on minden webshop telepített elem atomi és megváltoztathatatlan , azonnal visszaállíthatja, ha bármi balulna meg. Vizsgálja meg a válaszfejlécet, és egy ilyen értékű CSP-t kell látnia:
Itt a 'unsafe-inline', 'self', és a források visszamenőleges kompatibilitási okokból vannak megadva , és figyelmen kívül hagyják azokat a szigorú dinamikus forráslista kulcsszót támogató böngészők. A modern böngészők támogatják (CSP Level 3 Chrome 52+, Edge 79+, Firefox 52+ és Safari 15.4+).strict-dynamic
Alapértelmezés szerint a bővítmény a Content-Security-Policy-Report-OnlyCSP válaszfejlécét fogja használni. Ez azt jelenti, hogy a szabálysértéseket naplózza, de nem blokkolja, így betekintést nyerhet abba, hogy az éles forgalom hogyan viselkedik a házirenddel a funkcionalitás megsértése nélkül. A szabálysértéseket egy Netlify-függvény jelenti és naplózza, amelyet szintén a bővítmény telepített – a szabálysértési jelentéseket a funkció naplóinak ellenőrzésével követheti nyomon __csp-violations.
Ha fejlécről fejlécre szeretne váltani Content-Security-Policy-Report-Only, Content-Security-Policytávolítsa el a 'unsafe-eval'forráslista kulcsszavát (a könnyebb átvétel érdekében alapértelmezés szerint jelen van), vagy állítson be egyéni report-uri, egyszerűen módosítsa a bővítmény konfigurációs értékeit a Webhelykonfiguráció > Építés és telepítés > Tartalombiztonsági házirend alatt .
Ha fokozatosan szeretné szabályozni a nonce bevezetését a CSP-ben, miközben figyeli a szabálysértési jelentéseket, beállíthatja a CSP_NONCE_DISTRIBUTIONkörnyezeti változót 0 és 1 közötti értékre. Ez az érték szabályozza a forgalom azon százalékát, amely a CSP nonce-t tartalmazó átalakított választ kapna.
A következő telepítés a CSP nonce-t fogja tartalmazni. Ha webhelye már rendelkezik CSP-vel, ez a bővítmény egyesíti a nonce-t a meglévő irányelveivel.
Ha inkább kódként szeretné konfigurálni, akkor ezt a funkciót a @netlify/plugin-csp-nonce build plugin telepítésével is engedélyezheti .
A Telepítési előnézetben tesztelheti az éles indítás előtt. Ehhez kattintson a Telepítési előnézet tesztelése gombra a Webhely konfigurációja > Építés és telepítés > Tartalombiztonsági házirend alatt . És mivel a Netlify-on minden webshop telepített elem atomi és megváltoztathatatlan , azonnal visszaállíthatja, ha bármi balulna meg. Vizsgálja meg a válaszfejlécet, és egy ilyen értékű CSP-t kell látnia:
Itt a 'unsafe-inline', 'self', és a források visszamenőleges kompatibilitási okokból vannak megadva , és figyelmen kívül hagyják azokat a szigorú dinamikus forráslista kulcsszót támogató böngészők. A modern böngészők támogatják (CSP Level 3 Chrome 52+, Edge 79+, Firefox 52+ és Safari 15.4+).strict-dynamic
Alapértelmezés szerint a bővítmény a Content-Security-Policy-Report-OnlyCSP válaszfejlécét fogja használni. Ez azt jelenti, hogy a szabálysértéseket naplózza, de nem blokkolja, így betekintést nyerhet abba, hogy az éles forgalom hogyan viselkedik a házirenddel a funkcionalitás megsértése nélkül. A szabálysértéseket egy Netlify-függvény jelenti és naplózza, amelyet szintén a bővítmény telepített – a szabálysértési jelentéseket a funkció naplóinak ellenőrzésével követheti nyomon __csp-violations.
Ha fejlécről fejlécre szeretne váltani Content-Security-Policy-Report-Only, Content-Security-Policytávolítsa el a 'unsafe-eval'forráslista kulcsszavát (a könnyebb átvétel érdekében alapértelmezés szerint jelen van), vagy állítson be egyéni report-uri, egyszerűen módosítsa a bővítmény konfigurációs értékeit a Webhelykonfiguráció > Építés és telepítés > Tartalombiztonsági házirend alatt .
Ha fokozatosan szeretné szabályozni a nonce bevezetését a CSP-ben, miközben figyeli a szabálysértési jelentéseket, beállíthatja a CSP_NONCE_DISTRIBUTIONkörnyezeti változót 0 és 1 közötti értékre. Ez az érték szabályozza a forgalom azon százalékát, amely a CSP nonce-t tartalmazó átalakított választ kapna.