如何删除内容安全策略的不安全内联代码？

Question

我想使用内容安全策略,使我的Django Web应用程序安全,没有任何不安全的内联代码.虽然很容易将大多数JavaScript代码移动到外部文件,但我也有一段内联代码,我不知道修复.我正在使用Django,我在Django模板上下文中有一些变量,我想pqww到JavaScript.所以目前我只是将其输出为内联JavaScript.但由于CSP,这不起作用.

<script type="text/javascript">
    /* <![CDATA[ */
    var documentURL = '{% filter escapejs %}{{ document.get_document_url }}{% endfilter %}';
    /* ]]> */
</script>

Answer 1

将评论放入答案形式并添加一点...

最简单的方法是生成一个带有属性集的标签。我不了解 django，所以我将其保留在纯 html 中：

<input type="hidden" id="mything" value="<MY VALUE>">

当我有多个相关值时，我可能会将它们放入同一个元素中：

<span class="hidden" data-attribute1="<VALUE1>" data-attribute2="<VALUE2>">
<!-- rename 'attributeN' to something meaningful obviously -->

无论哪种情况，只需使用 JS 读取值（为简洁起见，使用 jquery）

$('#mything').data("attribute1")

或者，如果您需要一个复杂的对象，请将其作为 html 实体转义数据放入 span 中：

<span class="hidden" id="data-container">
  <your html-escaped JSON>
</span>

并使用以下命令在外部文件中读取它：

var myObject = JSON.parse($('#data-container').html());

这也在https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet#RULE_.233.1_-_HTML_escape_JSON_values_in_an_HTML_context_and_read_the_data_with_JSON.parse中进行了描述