CSP strict-dynamic
CSP strict-dynamic vertraut Skripten, die dynamisch von per Nonce/Hash bereits erlaubten Skripten hinzugefügt werden, ohne dass jedes dynamische Skript gewhitelistet werden muss.
Zweck
Die CSP-Einführung für SPAs und dynamische Skripte vereinfachen, indem Skripten vertraut wird, die von vertrauenswürdigen Skripten geladen werden.
Mechanismus
Mit script-src 'nonce-abc' 'strict-dynamic': Skripte mit dem Nonce dürfen dynamisch <script>-Tags einfügen, denen automatisch vertraut wird (propagierte Vertrauensstellung), ohne Whitelist-Eintrag. Injizierte nicht vertrauenswürdige Skripte haben weiterhin keinen Nonce und bleiben blockiert.
Anwendungsfälle
- SPA-CSP-Einführung
- Vertrauen in dynamische Skripte
- CSP-Vereinfachung