如何通过Content-Security-Policy允许`javascript:void(0)`用于HTML元素属性？

Question

我希望能够做到

<form action="javascript:void(0)">

要么

<a href="javascript:void(0)">

确保即使处理程序无法阻止默认操作也不会发生任何事情.我应该如何声明这是允许使用Content-Security-PolicyHTTP响应头而不诉诸unsafe-eval？

Answer 1

我最近通过向 index.html 添加元标头，将 CSP 策略应用于一个巨大的 VUE 项目。

谷歌浏览器会打印有关链接的警告javascript:，但除此之外什么也不会发生。

我所做的只是删除该href="javascript:属性，并添加一个样式来保持光标样式：

a:hover {
    cursor: pointer;
}

这对我来说非常有效。

PS我也<a>用<button>标签替换了几个，并且<button>不需要href属性。

Answer 2

删除内置事件并将其替换为 AJAX 调用怎么样？