關閉Google內容安全政策

Question

我正在嘗試爲我的Web應用程序啓用CSP。我的策略是這樣的：

「default-src'self'gap：cdvfile :;」

我使用谷歌關閉了JavaScript的。但是沒有JavaScript的優化，我的JS被封鎖，因爲：

goog.json.parse使用eval（）

如果我編譯我與封閉的編譯器代碼，有是事先編譯沒有問題，不使用eval（）。 （使用JSON.parse）

我知道，作爲解決方法，我可以使用sha256-.....或nonce=....。

是否有任何其他的方式，我可以使用CSP不使用sha..或nonce..。

Answer 1

我相信如果你添加goog.json.USE_NATIVE_JSON = true;到您的代碼，它不會使用eval。