Gibt es eine Möglichkeit bei dem http-header Plugin CSP so zu konfigurieren, dass folgender Quellcode in meiner HTML Seite nicht durch CSP blockiert wird?
Jein. So wie Re:Later schon geschrieben hat nur durch: script-src 'unsafe-inline' oder via dedizierten hash. Das sind alles aber nur Behelfslösungen für die "richtige" Lösung komplett auf inline JS und CSS zu verzichten und diese Funktionalität in JS/CSS Dateien auszulagern.
Das Plugin http-header schreibt immer die hashes aus der script-src Direktive auch in die script-src-attr Direktive. Ist das so richtig oder der Grund für den Fehler?
Jein zeig mir einmal bitte deine CSP Konfiguration "automatisch" sollte das Plugin das nicht machen. Das Problem an script-src-attr ist das es nur in chromium Browsern verfügbar ist: https://caniuse.com/mdn-http_h…ty-policy_script-src-attr
Da bin ich als Depp schon Stunden im Kreis gelaufen. Die einzige Lösung, die ich bisher gefunden habe, ist Nonces auszuschalten und natürlich 'strict-dynamic', und eine Regel
script-src: 'unsafe-inline' etc.
hinzuzufügen.
Die Kombination sollte aber auch nicht funktionieren. Denn wenn nonces aktiviert sind wird unsafe-inline ignoriert und greift dann nur bei Browsern welche keine nonces unterstützen?
Danke, das wäre vielleicht sehr hilfreich. zero24 kann besser beurteilen, ob man da etwas in die ToDo Liste für ein neues Joomla aufnimmt. Bis später dann.
Ich denke es geht hier um das Backend? Der Fokus bei 4.0 wurde auf das Frontend gelegt und ja es gibt noch einige inline scripte im Joomla 4 backend aber die meisten sollten schon auf "nutzen die Joomla API" umgestellt worden sein und werden damit von hashes und nonces abgefangen aber ich möchte nicht ausschließen das es auch noch welche gibt die an der Joomla API vorbei gehen besonders auch 3rd party extensions können hier schnell querschießen
