El paquete Spatie/Laravel-CSP maneja los nonces dinámicos para scripts y estilos en línea mediante la generación de un valor de valor nonce único por solicitud HTTP e inyectándolo automáticamente en los encabezados de la Política de Seguridad de Contenido (CSP) y los elementos HTML relevantes. Aquí hay una explicación detallada de cómo funciona:
Generación Nonce
- El paquete utiliza una interfaz no cegeneradora para generar una cadena de nonce dinámicamente para cada solicitud.
- Por defecto, puede implementar su propia clase de generador Nonce que devuelva una cadena aleatoria única. Por ejemplo, puede integrarse con el sistema Nonce de Laravel Vite creando una clase como `LaravelVitenonceGenerator` que usa` vite :: cspnonce () `para obtener el nonce generado por VITE durante la compilación de activos.
- Especifica su clase de generador Nonce en la tecla 'Nonce_Generator` del archivo de configuración' CSP.PHP` del paquete.
Aplicando Nonces en las políticas
-En su clase de política CSP (que generalmente extiende `Spatie \ CSP \ Policies \ Basic`), utiliza métodos como` addnoncefordirective (directive :: script) `y` addnoncefordirective (directive :: style) `indicar que se debe agregar una nonce a las directivas` script-src` y `estilo` estilo `de estilo` de estilo `de estilo`.
- Esto asegura que el nonce generado se incluya en el encabezado CSP para estas directivas, lo que permite scripts y estilos en línea que llevan el atributo de Nonce correspondiente para ejecutar.
Inyección de middleware y encabezado
- El paquete proporciona middleware (`spatie \ csp \ addcspheaders`) que registra en su kernel HTTP o en rutas específicas.
- Este middleware genera el nonce para la solicitud, aplica la política de CSP, incluidas las directivas Nonce, y agrega los encabezados CSP apropiados a la respuesta HTTP.
- El valor de nonce es consistente dentro de la solicitud, por lo que puede usar directivas de Blade como `@nonce` o funciones auxiliares como` csp_nonce () `en sus puntos de vista para generar el atributo Nonce en etiquetas en línea` `o` `` `.
Integración con Laravel Vite
- Al usar Laravel Vite, el paquete puede aprovechar la generación Nonce incorporada de Vite a través de `vite :: cspnonce ()`.
- Puede crear una clase de generador NonCe personalizada que devuelva el Nonce de VITE, asegurando que el NonCE utilizado en el encabezado CSP coincida con los scripts y estilos inyectados por VITE aplicados a VITE.
- Esto evita las violaciones de CSP causadas por desajustes de no CE y permite scripts/estilos seguros en línea en aplicaciones de Laravel con motor VITE.
Características adicionales
- El paquete también es compatible con las políticas de CSP como metaetiquetas (a través de la directiva de Blade `@cspmetatag`) cuando no puede controlar los encabezados HTTP.
- Admite el modo de solo informe para probar las políticas de CSP sin bloquear los recursos.
- Puede personalizar las políticas para diferentes entornos (desarrollo frente a producción).
Notas prácticas
- Debe asegurarse de que Nonce se emita en scripts/estilos en línea utilizando la directiva Blade `@nonce` o` csp_nonce () `helper; De lo contrario, el navegador los bloqueará.
- Los navegadores como Chrome pueden eliminar los atributos de Nonce de las etiquetas de script inyectadas dinámicamente, por lo que usa Nonce cuidadosamente y prueba el comportamiento.
- El Nonce es una cadena aleatoria generada por solicitud, haciendo que los scripts/estilos en línea sean más seguros al permitir que solo aquellos con el Nonce correcto se ejecute.
En resumen, Spatie/Laravel-CSP genera dinámicamente una solicitud por solicitud a través de un generador Nonce configurable, incluye este Nonce en los encabezados CSP para scripts y estilos, y proporciona directivas y ayudantes de cuchilla para generar el atributo NonCe en elementos en línea. Esta integración, especialmente con Laravel Vite, garantiza que los scripts y los estilos en línea están permitidos de forma segura por el CSP sin usar en línea insegura, mejorando la seguridad de las aplicaciones mientras se mantiene la funcionalidad [1] [2] [3] [4] [6].
Citas:
[1] https://github.com/spatie/laravel-csp
[2] https://laravel.io/forum/laravel-mix-and-content-security-policy
[3] https://laravel-news.com/package/spatie-laravel-csp
[4] https://stackoverflow.com/questions/75106343/nonce-is-always-empty- when-using spatie-laravel-csp-with-laravel-and-vite-js
[5] https://github.com/spatie/laravel-csp/discussions/96
[6] https://stackoverflow.com/questions/77459507/how-to-add-csp-nonce-in-inline-style-and-script-by-vue-in-a-laravel-and
[7] https://www.stackhawk.com/blog/laravel-content-security-policy-guide-what-it-is-and-how-to-enable-it/
[8] https://stackoverflow.com/questions/78864184/enable-nonce-to-laravelficial-packages
[9] https://developer.mozilla.org/en-us/docs/web/http/headers/content-security-policy/script-src