clikjacking Implementierungsproblem

Question

Ich habe das folgende Meta-Tag hinzugefügt, um Clickjacking auf meiner Website zu vermeiden.

<meta http-equiv="Content-Security-Policy" content="default-src 'self'"> 

Aber es wirft „Refused Inline-Stil anzuwenden, da es die folgenden Content Security Policy Richtlinie verletzt: " default-src 'Selbst'" Entweder das 'unsichere-inline' Schlüsselwort, ein Hash ('sha256- CwE3Bg0VYQOIdNAkbB/BTdkhul49qZuwgNCMPgNY5zw = ') oder eine Nonce (' nonce -... ') ist erforderlich, um die Inline-Ausführung zu aktivieren Beachten Sie, dass' style-src 'nicht explizit festgelegt wurde, daher wird' default-src 'als Fallback verwendet . "

Answer 1

hinzufügen

style-src 'unsafe-inline' 'self'

Oder die Inline-CSS in eine externe Datei bewegen. Es ist jedoch unglaublich üblich, Inline-Stile zuzulassen, obwohl ein gewisses Risiko besteht.