Spezielle Frage zur "Nonce"-Einstellungen im Plugin "HTTP-Headers"

Hallo!

Es geht um eine spezielle Einstellung im Plugin "HTTP-Headers" - "Nonce".

Wenn ich es richtig verstehe, kann man es aktivieren wenn man Inline-Styles oder Inline-Skripte auf der Seite hat (bspw. weil man die nicht auslagern kann). Nun habe ich testweise eine blanke 5.1.0-Installation durchgeführt, um überhaupt erst einmal zu schauen, wie sich Joomla in der Grundausführung verhält. Wenn also nichts weiter installiert habe (also keine Plugins etc.) und die CSP-Anweisungen für style-src und script-src auf 'self' stelle, dann bekomme ich in der Konsole eine Warnung, dass diverse Skripte wegen der 'self'-Anweisung nicht ausgeführt werden konnten. Soweit so gut. Nun aktiviere ich die "Nonce"-Option und sehe (zumindest in Firefox) im Quellcode, dass hinter alle Style- und Skript-URIs ein nonce=xxxx Attribut mit einer Art Hash gesetzt wurde. Dennoch können die Skripte bzw. Styles inline noch immer nicht ausgeführt werden. Muss ich da noch etwas machen?

Zitat von SniperSister

Kannst du einen Link zur Seite zeigen? Das ist abstrakt etwas undankbar im Debugging...

Oops ... ja, klar. https://www.pickeboe.de. Ich habe derweil auch eine Kombination versucht: Also bei den betreffenden Angaben style-src und script-src das unsafe-inline mit reingeschrieben, da ich las, dass die Browser das bei aktiviertem Nonce ignorieren sollten.

Zitat von SniperSister

Hm. Das hängt mit dem Cassopeia Template zusammen, das nutzt einen Inline Event Handler der nicht mit dem CSP Strict Mode kompatibel ist. Muss mal den Autor fragen was er sich da initial gedacht hat, das ist mir gerade auch nicht klar.

Oha. Das ist natürlich doof. Vor allem vor dem Hintergrund, dass wir ja alle möglichst mit Cassiopeia-Childtemplates arbeiten sollten (könnten). Bin gespannt auf d(s)eine Rückmeldung.

Zitat von Elwood

Aber auf der Seite läuft das Astroid-Framework!?

Ja, klar. Nur das Astroid-Framework 3.0.14 mit dem mitgelieferten Template. http://www.pickeboe.de. Ich habe nur hier und da ein paar Einstellungen geändert, wie Googlefonts ausgemacht, mal eine neue Section eingefügt und so. Aber das sollte ja nix am System selbst ändern.