LinkedIn分享按鈕的內容安全政策

Question

我目前正在嘗試使用<script type="IN/Share"></script>標記將LinkedIn分享按鈕添加到我的網站。然而，我有一個相當強大的內容安全策略，看起來它需要unsafe-inline爲style-src和script-src這顯然是我不準備做的事情，因爲我可能只是沒有CSP在那一點。

有沒有人知道一種方法讓分享按鈕正確顯示，而無需啓用這些？

Answer 1

您需要使用隨機數或散列哈希值。如果它只是LinkedIn插件和代碼是在每個頁面上相同的（就像我希望這將是），你只需要包含在現有的指令中的SHA哈希，是這樣的：

script-src: 'sha-35443567457455424532765'

谷歌瀏覽器會在開發工具中爲您生成sha shahes，只需複製它爲您提供的需要加載的資源的字符串，然後使用新的CSP重新加載並確認它是否有效。測試多個頁面以確保它覆蓋所有情況。

如果您的代碼中添加了大量內聯樣式/腳本，那麼使用sha可能會變得雜亂，但如果它是一個像這樣的單個小部件，它應該只需要一個/幾個。準確的sha哈希值會隨着Linkedin的代碼更改而改變（甚至可能依賴於創建按鈕時設置的變量），所以我沒有包含精確哈希，因爲它不太可能工作。