即使使用ng-csp指令,OnsenUI仍然使用unsafe-eval和unsafe-inline

chr*_*aya 5 angularjs cordova content-security-policy onsen-ui

编辑: 我已将问题提交给他们的GitHub:https://github.com/OnsenUI/OnsenUI/issues/936

编辑2:正在照顾;)

(对不起我的英文,这不是我的母语;))

这是我关于stackoverflow的第一个问题.现在,我总是发现其他人和我有同样的问题,并得到了答案.

但这一次,我似乎无法找到解决方案,所以要么我是第一个,要么我错过了一些东西.

我正在为Windows Phone和Android(现在)开发一个应用程序,使用cordova,onsenui(如此有角度)和jQuery(我认为这不会导致最后一个在这里引起麻烦).

我决定以正确的方式开始使用CSP,以获得更安全的应用程序.

我已经<meta http-equiv="Content-Security-Policy" content="default-src 'self' http://foo.com>在index.html页面中添加了.我发现angular会做很多不安全的事情,并且我了解了ngCsp指令.

所以现在我有:

<html ng-app="app" ng-csp>
    <meta http-equiv="Content-Security-Policy" content="default-src 'self' http://foo.com>

    <script src="lib/onsen-1.3.10/js/angular/angular.js"></script>
    <script src="lib/onsen-1.3.10/js/onsenui.js"></script>
    ...
</html>

Run Code Online (Sandbox Code Playgroud)

我不再了解CSP关于angular.js的错误,但我不断得到一些forsenui.js(不安全内联和不安全 - 逃避).知道,我发现的唯一解决方案是:

允许CSP中的不安全内联
安排onsenui.js中唯一导致不安全评估的行:

在onsenui.js,我已经更换了4888行:

}(new Function("return this")()));

Run Code Online (Sandbox Code Playgroud)

通过:

}(function() {return this;}()));

Run Code Online (Sandbox Code Playgroud)

所以我的问题是:我是唯一有这个问题的人吗？这里有人使用cordova,onsenui和CSP没有任何问题吗？我宁愿不在CSP meta中加上'unsafe-eval',我想删除'unsafe-inline'.

对不起这篇长篇帖子,谢谢你的帮助!;)

归档时间：	10 年，2 月前
查看次数：	249 次
最近记录：	10 年，1 月前