拒绝将字符串求值为JavaScript，因为'unsafe-eval‘不是允许的源
拒绝将字符串求值为JavaScript是为了防止安全漏洞和恶意代码执行。'unsafe-eval'是一个安全策略，它禁止在代码中使用eval()函数或类似的方法将字符串转换为可执行的JavaScript代码。这是一种常见的安全措施，用于防止跨站脚本攻击（XSS）和其他类型的代码注入攻击。
禁用'unsafe-eval'可以提高应用程序的安全性，因为它限制了攻击者可以执行的恶意代码的范围。通过避免将字符串求值为JavaScript代码，可以防止攻击者利用漏洞执行任意代码，从而保护用户的数据和系统的安全。
虽然禁用'unsafe-eval'可以提高安全性，但也可能导致一些功能受限。某些库和框架可能依赖于将字符串求值为JavaScript代码来实现动态功能。在这种情况下，开发人员需要仔细评估安全性和功能需求之间的平衡，并采取适当的措施来确保应用程序的安全性。
对于前端开发人员，可以考虑使用其他安全的替代方法来实现动态功能，例如使用JSON.parse()来解析JSON字符串，使用模板引擎来渲染动态内容，或者使用安全的JavaScript库来执行动态代码。
对于后端开发人员，可以使用安全的解析器和执行环境来处理动态代码，例如使用安全的JavaScript解析器或使用其他编程语言来执行动态代码。
总之，拒绝将字符串求值为JavaScript是一种重要的安全措施，可以防止恶意代码执行和安全漏洞。开发人员应该仔细评估安全性和功能需求之间的平衡，并采取适当的措施来确保应用程序的安全性。
相关·内容
我正在从"“中抓取数据
function main(splash, args)
assert(splash:go(args.url))
assert(splash:wait(0.5))
assert(splash:runjs('document.querySelector("#sticky-menu a[data-testid=menu-jobs]").click()'))
splash:set_viewport_full()
return {
html = splash:html(),
png = splash:
浏览 2提问于2021-01-30得票数 1
我有asp.net webforms项目。我的内容安全策略标题如下
default-src 'self' 'unsafe-eval' data:;style-src 'self' 'unsafe-inline';img-src * 'self' data:;font-src 'self' https://fonts.gstatic.com data:;frame-src * data: blob: js: javascript:;script-src 'self' 'unsa
浏览 2提问于2021-05-19得票数 1
我希望允许unsafe-eval用于script-src策略，但仅适用于特定的域。
例如，我只希望来自*.example.net的脚本能够使用eval()。
script-src 'unsafe-inline' *;script-src 'unsafe-eval' 'unsafe-inline' *.example.net blob:;
以上内容不起作用。我怎样才能达到这种行为呢？
浏览 2提问于2017-11-22得票数 11
回答已采纳
2回答
我的新ChromeApp有点麻烦。
所以..。我已经开始使用JavaScript FileSystem API，所以我使用它来创建mp3文件(我的应用程序是html5播放器)。
来自FileEntry API的filesystem对象为存储在文件系统中的文件提供了toURL()方法。在ChormeApps中，此方法返回如下内容：
filesystem:chrome-extension://mhldgbaidgpagmimniipggmajbodaeco/persistent/cbd416046ae7a567d4629fc38ac80864.mp3
但是，当我试图使用<audio>标
浏览 4提问于2012-07-20得票数 1
回答已采纳
我有一个错误：
拒绝执行内联脚本，因为它违反了以下内容安全策略指令："script-src 'self' chrome-extension-resource:"。启用内联执行需要'unsafe-inline'关键字、散列('sha256-...')或现时值('nonce-...')。
chrome-extension://ldbpohccneabbobcklhiakmbhoblcpof/popup.html:1
拒绝将字符串评估为JavaScript，因为'unsafe-eval'不是以下内容安全策
浏览 729提问于2014-07-17得票数 24
1回答
TinyMCE内容安全策略
、、、、
我有一个文本编辑器在我的反应应用程序，直到现在一切都是完美的，直到我决定添加内容-安全-策略在我的应用程序。然后我的文字编辑停止工作。所以我把这个元标签放在我的头部标签里
<meta http-equiv="Content-Security-Policy" content="script-src 'self' https://cdn.tiny.cloud/1/MY-API-KEY/tinymce/5/tinymce.min.js 'unsafe-eval' ">
但仍然没有工作，我错过了什么？我也在控制台中得到了这个
浏览 10提问于2022-01-17得票数 1
这是在尝试设置按钮时遇到的错误：
Refused to load the script 'https://apis.google.com/js/platform.js' because it violates the following Content Security Policy directive: "script-src 'self' https://ssl.google-analytics.com".
这是我的html标题：
<html>
<head>
<meta http-equiv="Conte
浏览 7提问于2016-05-27得票数 1
1回答
工作箱将不加载
、、
我试图使用工作框添加PWA功能到我的网站。我正在遵循指南，但我并没有走远。当我使用Chrome运行网站时，我会发现以下错误：
Refused to load the script 'https://storage.googleapis.com/workbox-cdn/releases/3.6.1/workbox-sw.js' because it violates the following Content Security Policy directive: "script-src 'self' 'unsafe-eval'".
浏览 1提问于2018-11-09得票数 3
当试图将第三方js文件加载到内容脚本中时，使用的是chrome扩展名。我正面临一个unsafe-eval错误
我的manifest.json看起来像这样
{
"manifest_version": 3,
"name": "Test",
"version": "1.0",
"host_permissions": ["https://mail.google.com/"],
"content_scripts": [
{
浏览 7提问于2021-08-17得票数 10
我们的网站是基于WordPress工具设计的，并发布在Azure web服务上。我们的目标是使用谷歌分析来检查流量。由于这一事实，google分析标签被添加到我们页面的页眉部分，这导致了以下错误：
拒绝加载脚本'‘，因为它违反了以下内容安全策略指令：" script -src 'self’'unsafe-eval‘'unsafe-inline’*.msecnd.net *.google.com *.gstatic.com“。请注意，没有显式设置'script-src-elem‘，因此使用'script-src’作为备用。
我知道违反内容安
浏览 3提问于2021-07-21得票数 0
这是一个CSP，这个问题涉及到脚本源元素：
default-src 'none'; script-src 'self' 'unsafe-eval' https://maps.googleapis.com; style-src 'self' https://fonts.googleapis.com 'unsafe-inline';
因此，这个CSP设置了不安全eval，此设置是否适用于所有脚本，还是只适用于Self脚本--即不安全eval适用于哪个级别的粒度？
浏览 0提问于2018-03-31得票数 4
回答已采纳
是否可以根据脚本src指定源列表值。RFC提到 it，但我不确定它的用法。
例如：
Content-Security-Policy:default-src *; script-src 'unsafe-inline' 'self';
Content-Security-Policy:script-src 'unsafe-inline' 'unsafe-eval' https://maps.googleapis.com/*';
这种组合意味着，除了Google (需要这样的API)之外，任何地方都不允许unsafe-eval。
浏览 0提问于2015-05-08得票数 2
回答已采纳
我正在学习内容-服务-政策。
让我们说我的站点abc.com有以下csp：
default-src 'self' 'unsafe-inline' 'unsafe-eval' xyz.com
这是否意味着它将使用来自xyz.com的csp源？
如果我把它改成：
default-src 'self'
如果第一个更安全，是否有理由使用更简单的？换句话说，拥有更安全的csp不是总是更好吗？
谢谢
浏览 2提问于2019-06-03得票数 0
回答已采纳
10回答
当我试图将我的应用程序部署到设备上时，安卓系统的超过了5.0.0，我一直收到这样的错误消息：
07-03 18:39:21.621: D/SystemWebChromeClient(9132)：file:///android_asset/www/index.html:第0行:拒绝加载脚本'‘，因为它违反了以下内容安全策略指令：" script -src 'self’不安全-eval‘’不安全-内联‘“。07-03 18:39:21.621: I/src(9132)：INFO:CONSOLE(0)“拒绝加载脚本'‘，因为它违反了以下内容安全策略指令：”脚本-sr
浏览 31提问于2015-07-03得票数 190
回答已采纳
有什么方法可以防止在nodejs代码中使用eval和friends吗？它已经被至少两个npm恶意包使用，我没有理由在我当前的项目中使用它。
unsafe-eval CSP声明的存在意味着它在V8级别应该是可能的，但是据我所知，node并没有公开这个功能。(如果我按我的方式，禁止eval将是默认的…)我知道没有eval eslint规则的存在，这是一个很好的开始，但我正在寻找具有运行时保证的东西，其中也包括node_modules。
浏览 1提问于2021-01-13得票数 0
在使用content-security-policy设置Angular4时，我得到了以下错误。
错误：
拒绝连接到'ws://localhost:4200/sockjs-node/812/lxo2oeas/websocket‘，因为它违反了以下内容安全策略指令：“默认-src 'self’‘不安全-eval’”。请注意，没有显式设置“connect”，因此“default-src”用作回退。
Uncaught : event.data.indexOf不是receiveMessage (out.js:4)的一个函数
这是我的代码：
<!doctype html>
浏览 0提问于2018-03-12得票数 4
回答已采纳
我正在尝试使用Visual studio制作一个通用的windows应用程序。当我尝试运行以下代码时：
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8" />
<title>testProject</title>
<link href="css/default.css" rel="stylesheet" />
</head>
<body>
<div&
浏览 2提问于2016-10-16得票数 3
如果我下载缩小的YUI3加载器并将其包含在我的background.html中，我会得到以下错误：
未捕获资源:拒绝将字符串求值为JavaScript，因为在以下内容安全策略指令“script src 'self‘chrome-EvalError-JavaScript：”中，“”unsafe-eval“”不是允许的脚本源。“
YUI3可以在扩展中使用吗？
浏览 0提问于2013-02-20得票数 2
我正在开发一个Chrome与谷歌Blockly。为了动态运行JavaScript代码，我想使用eval()函数。
我试过上面的链接。我按照铬文档的建议使用了这个清单。
manifest.json
{
"manifest_version": 2,
"name": "Blockly",
"version": "1.0.0",
"icons": {
"128": "icon_128.png"
},
"permissions
浏览 6提问于2020-02-19得票数 0
我添加了Facebook signIn按钮，在https://localhost:3000/上一切正常，但是当我部署应用程序时，它会在控制台中抛出以下错误：
拒绝加载脚本'‘，因为它违反了以下内容安全策略指令：“script -self 'self’不安全-内联‘”。
我试图将这一行添加到我的manifest.json："content_security_policy": "script-src 'self' 'unsafe-inline' https://connect.facebook.net 'unsafe
浏览 1提问于2021-01-28得票数 0
回答已采纳
我已经为我的manifest.json中的CSP设置尝试了所有可能的设置，这是我的当前设置(我知道这是非常开放和不安全的)。
当我打开背景检查的扩展，第一次在重新加载它是好的，有时直到第五次，然后突然下面的错误开始涌入。
"content_security_policy": "default-src * 'unsafe-inline' 'unsafe-eval'; script-src * 'unsafe-inline' 'unsafe-eval'; connect-src * 'unsafe-in
浏览 2提问于2019-07-19得票数 0
4回答
我试图在使用以下内容时使用TinyMCE -报头：
X-WebKit-CSP: default-src 'self'; script-src 'self' 'unsafe-eval'; img-src *; media-src *; frame-src *; font-src *; style-src 'self' 'unsafe-inline'; report-uri /:reportcspviolation
我在Tools - JavaScript控制台中得到以下错误：
Refused to execute J
浏览 10提问于2012-07-06得票数 21
回答已采纳
1回答
我在Google扩展中使用处理JS。常规的网页可以工作，但是当我尝试扩展时，如下所示：
window.localStorage is not available in packaged apps. Use chrome.storage.local instead. extensions::platformApp:17
processing.js:718 Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the follow
浏览 2提问于2015-03-20得票数 1
回答已采纳
我正在尝试使用作为我们的web应用程序的一部分，它使用非常严格的。问题是，MathJax是以eval()的形式编写的，确切地说，是以Function()的形式编写的，CSP默认认为这是不安全的。
我正在使用以下CSP标题：
X-Content-Security-Policy: allow 'self'; img-src *; media-src *; frame-src *; font-src *; frame-ancestors 'none'; style-src *; report-uri '/:save-csp-violation';
这会
浏览 2提问于2012-06-08得票数 26
回答已采纳
1回答
我正在开发一个Chrome扩展程序，我的index.html头上有这样的内容：
<script src="https://cdnjs.cloudflare.com/ajax/libs/js-beautify/1.7.5/beautify-html.js"></script>
我得到了这个错误：
拒绝加载脚本'‘，因为它违反了以下内容安全策略指令：" script -src’不安全-eval‘“。
下面是我的manifest.json配置：
"content_security_policy": "scr
浏览 0提问于2018-01-25得票数 0
回答已采纳
我正在使用Cordova 5.0.0构建用于Android的Cordova应用程序。我正在使用谷歌地图没有插件，它必须没有插件。我包括这个脚本和元标签.also Cordova使用白名单插件。
<!-- Meta tag -->
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inlin
浏览 34提问于2015-06-26得票数 5
回答已采纳
1回答
我已经把我的铬应用程序构建过程从咕噜迁移到webpack。一开始我用source-map作为webpack的工具。
一切看起来都像预期的那样工作，但是当我压缩我的构建时，调试是错误的--无法检查变量，实际执行的代码没有完全与铬高亮显示的行对齐.
因此，我尝试了cheap-module-eval-source-map，它在浏览器( chrome )中完美地工作了，但是在chrome应用程序中抛出了一个错误Uncaught EvalError: Refused to evaluate a string as JavaScript because 'unsafe-eval' is n
浏览 0提问于2016-04-13得票数 3
2回答
我们在网络跟踪中看到了以下内容。
成员文档:1拒绝在帧中显示“”，因为它将“X-框架-选项”设置为“相同来源”。
拒绝帧'‘，因为一个祖先违反了以下内容安全策略指令：“框架祖先'self’。
拒绝在帧中使用“”，因为它将“X-框架选项”设置为“相同来源”。
我们还有一个SSO框架/pingfederate来保护我们的内容。运行时应用程序的响应头配置设置为：
SAMEORIGIN --> --> name="exclude-patterns"> _/idp/startSLO.ping;_/sp/startSLO.ping;
浏览 4提问于2021-05-17得票数 0
1回答
我尝试了一系列安全策略来连接我们的api，但总是被拒绝。
Refused to connect to 'https://myapi...' because it violates the following Content Security Policy directive: "connect-src 'self' https://myapi.../* 'unsafe-inline' 'unsafe-eval'".
我使用的是电容器-社区/电子的默认代码，我所做的只是尝试了一大堆不同的Content-Securit
浏览 3提问于2021-10-19得票数 0
1回答
我有用ASP.NET 4.5.1开发的MVC应用程序。应用程序在几个页面中使用javascripts。一些javascripts被引用为
@Scripts.Render("~/Scripts/bootstrap")
@Scripts.Render("~/Scripts/js")
还有一些内联脚本，如
<script type="javascript">
// javascript code
</script>
我想为这个站点实现Content Security Policy。站点托管在IIS中。因此，在IIS中，我
浏览 0提问于2017-03-13得票数 10
我跟踪了一个不同的SO答案，并更新了我的元标签如下：
<meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com 'unsafe-eval'; style-src 'self' 'unsafe-inline'; media-src *; img-src 'self' data: content:; default-src 'se
浏览 6提问于2021-01-26得票数 0
回答已采纳
2回答
我试着查看了相关链接，并用谷歌搜索了一下，但我没有找到任何对我有确切帮助的东西。在这里原谅一个web开发新手。这可能是一个非常简单的答案：
我正在做的是一个调用php文件的ajax javascript函数。这个php文件连接到数据库并从一个表中获取所有信息，如下所示：
<?php require_once('Connections/callConn.php'); ?>
<?php
$query_getStatus = "SELECT tStatus FROM tables";
$status = mysql_query($query_get
浏览 0提问于2012-02-29得票数 0
回答已采纳
2回答
我是整合在我的网站，昆特卡斯特脚本跟踪观众。当页面在浏览器中加载时，我会看到下面的错误。我知道这是一个编码为base64的脚本，但是如何允许它使用CSP和CORS头执行呢？
拒绝加载脚本的数据:application/javascript；base64 64，ZnVuY3Rpb24gcXVhbnRzZXJ2ZSgpe30=‘，因为它违反了以下内容安全策略指令：" script -src 'self’不安全-内联‘’不安全-eval‘*.cloudflare.com *.quantserve.com“。
以下是我的标题：
headers {
contentSecu
浏览 4提问于2017-02-01得票数 0
回答已采纳
我目前正在尝试在我的应用程序中引入一个内容安全策略，这个策略是使用Range5构建的。我目前正在index.html中使用一个index.html标记来实现CSP，不过我将来会改变这一点。我已将以下内容插入我的应用程序
<meta http-equiv="Content-Security-Policy" content="script-src 'self'; img-src 'self' data:;media-src 'self'; object-src 'self' data: 'unsa
浏览 1提问于2018-05-25得票数 3
在编译Webpack后重新加载我的Chrome扩展时，我得到了这个错误：
Uncaught EvalError: Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: "script-src 'self' blob: filesystem: chrome-extension-resource:".
浏览 15提问于2018-01-01得票数 66
回答已采纳
下面是一个CSP策略，例如派生的示例响应头。
下面的实现只允许在"script-src"指令中使用白色列出的域，但是'unsafe-inline'和'unsafe-eval'指令也使用下一个'self'。
这个'unsafe-inline' / 'unsafe-eval'会被包括'self'在内的所有白名单域使用，还是只用于'self'域？
content-security-policy:
script-src https://test1dummy.com/
ht
浏览 0提问于2019-01-21得票数 1
1回答
我试图将json数据发送到http url，但没有成功(我试图向其他成功的https发送相同的数据)。我有这样的设置：config.xml
<access origin="*" />
<allow-intent href="http://*/*" />
<allow-intent href="https://*/*" />
AndroidManifest.xml
android:usesCleartextTraffic="true"
Header
<meta http-equiv=
浏览 2提问于2021-12-16得票数 0
回答已采纳
我使用了eval，但通过应用CSP来拒绝它。但我正在寻找一种替代方案。
我找到了函数jQuery.globaleval()。
jQuery.readyException = function( error ) {
window.setTimeout( function() {
throw error;
});
};
投掷：
Uncaught :拒绝将字符串计算为JavaScript，因为在以下内容安全策略指令中，‘不安全-eval’是不允许的脚本来源：" script -src 'self‘不安全-内联’
所以，我们是否可以用全局安全
浏览 1提问于2019-07-29得票数 3
回答已采纳
1回答
在我的index.html中有一个元标记：
<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'">
当我运行ionic serve (Ionic版本为1.6.1)时，我得到以下错误：
拒绝加载脚本'‘，因为它违反了以下内
浏览 1提问于2015-07-05得票数 3
回答已采纳
我想要创建将我重定向到处理程序:查询的扩展，下面是我的代码：
manifest.json
…
"content_security_policy": "default-src * ;script-src 'self' 'unsafe-eval' ;object-src 'self' 'unsafe-eval'"
…
background.html
<!DOCTYPE html>
<html>
<head>
<meta http-
浏览 6提问于2017-11-26得票数 1
我将我的ember-cli应用程序升级到了0.0.47，现在在我的浏览器控制台上收到了一堆与内容安全策略相关的错误。如何解决此问题？
Refused to load the script 'http://use.typekit.net/abcdef.js' because it violates the following Content Security Policy directive: "script-src 'self' 'unsafe-eval' localhost:35729".
login:1
Refused to
浏览 0提问于2014-10-04得票数 60
回答已采纳
我正在测试CSP头实现。已实现的标头值是：
Content-Security-Policy: default-src 'self' data:; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'
X-Content-Security-Policy: default-src 'self' data:; style-src 'self' 'unsafe
浏览 0提问于2018-05-07得票数 0
回答已采纳
2回答
我试图将sql.js(基于JS的SQLite )集成到我的铬应用程序中，但在启动应用程序时，控制台显示了以下错误：
Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: "default-src 'self' chrome-extension-resource:". Note that 'sc
浏览 2提问于2014-11-25得票数 2
回答已采纳
我是一个后端开发人员，帮助一个前端团队部署web服务器，当我研究漏洞时，我遇到了内容安全策略，如果我设置CSP头这个" Content - Security - Policy : default-src 'self‘data：{own_domain_1} {own_domain_2}"，网站不能工作，前端团队告诉我，添加'unsafe-inline’和'unsafe-eval‘不会造成威胁，因为加载数据的域是我们自己的，但我没有遇到任何类型的文档，这是真的吗？如果没有，你可以告诉我文档，这样我就可以把它带给我的上级了。提前谢谢。
浏览 0提问于2020-08-05得票数 2
1回答
当使用脚本和链接标记加载js/css文件(从vue项目)时，浏览器拒绝加载它们。这些都是错误：
Access to script at 'http://www.example.com/js/app.7f934f5b.js' from origin 'http://example.com' has been blocked by CORS policy:
No 'Access-Control-Allow-Origin' header is present on the requested resource.
这个错误既发生在iOS和macOS上的
浏览 0提问于2018-11-30得票数 0
回答已采纳
1回答
SSRS嵌套if条件格式
、、、、
我用javascript编写了这段代码，它有条件地给数据表上色。我希望将相同的颜色条件和相同的优先级应用于SSRS报告；因此“rejected”(蓝色)将优先于“expired”(红色)。
蓝色:已拒绝
黄色:待定
红色:过期
橙色:警告
批准:白色
empty :白色，除非被拒绝，然后是蓝色，即使它是空的。
带有我想要的逻辑的Javascript代码
if (status == '1')
{
return 'rejected';
}
浏览 10提问于2017-08-23得票数 0
我正在使用Kango框架开发一个chrome扩展，我想同时使用Google Analytics和facebook SDK。我编辑了清单文件以包含以下内容
"content_security_policy": "script-src 'self' https://ssl.google-analytics.com https://connect.facebook.net; object-src 'self'; default-src 'self' 'unsafe-eval' chrome-extension-r
浏览 5提问于2013-12-18得票数 6
1回答
我在TFS中有以下共享数据源属性：
名称: MyDW
类型：
连接线：
Data Source=aa\\instance;Initial Catalog=MyDW
当我试图设置用户名和密码时：
我得到以下错误：
拒绝访问xxxxxxxxxxxx/MyDW.rds id
浏览 3提问于2021-01-26得票数 1
回答已采纳
1回答
如何阻止跨域脚本？
、、、、
action在domain1控制器中的应用
def show
respond_to do |format|
format.html
format.js { render js: 'alert("Foo")' }
end
end
当我在我的js视图中调用get这个domain2格式时，警报工作正常。
<script type="text/javascript" src="http://domain1/action.js"></script>
但是，由于js script是由domain
浏览 2提问于2015-07-02得票数 1
回答已采纳
我正在开发一个Mozilla扩展，它需要在本地主机8080上与我的服务器进行通信。
jQuery.ajax({
type: query_method,
url: "http://localhost:8080/item",
data: item,
dataType: "jsonp",
success: function(result) {
return result.code;
},
error: function(request
浏览 10提问于2017-06-02得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
