[Frage] Content Security Policy

[PeterPawn]

Kann es sein, daß seit neuestem mit den Seiten auch ein CSP-Header ausgeliefert wird?

Bei mir hat dieser (unter Windows 7 getestet, mit IE11 und FF 56) folgenden Inhalt:

Content-Security-Policy: script-src 'self' 'unsafe-inline' www.google-analytics.com;block-all-mixed-content;

An sich eine sehr gute Idee (eine Site kann per se unsichere Konstrukte auf diesem Weg verbieten, wenn sie sie nicht benötigt) ... aber angesichts der Form, wie Xenforo seine Overlays erzeugt (mittels "eval()"-Funktion in "globalEval" über Bande, aufgerufen aus "xenforo.js"), braucht es wohl doch noch ein 'unsafe-eval' in der Policy, wenn man Beiträge anschließend auch editieren können soll. Ansonsten wird der Aufruf von "eval()" am Ende über die CSP blockiert.

 

[GT2RS]

Wir arbeiten gerade daran