Paket Spatie/Laravel-CSP menangani nakon dinamis untuk skrip dan gaya inline dengan menghasilkan nilai nonce unik per permintaan HTTP dan secara otomatis menyuntikkannya ke header Kebijakan Keamanan Konten (CSP) dan elemen HTML yang relevan. Berikut adalah penjelasan terperinci tentang cara kerjanya:
generasi nonce
- Paket menggunakan antarmuka noncegenerator untuk menghasilkan string nonce secara dinamis untuk setiap permintaan.
- Secara default, Anda dapat mengimplementasikan kelas Nonce Generator Anda sendiri yang mengembalikan string acak yang unik. Misalnya, Anda dapat berintegrasi dengan sistem nonce Laravel Vite dengan membuat kelas seperti `LaravelvitenonceGenerator` yang menggunakan` vite :: cspnonce () `untuk mendapatkan nonce yang dihasilkan oleh vite selama kompilasi aset.
- Anda menentukan kelas generator nonce Anda di kunci `nonce_generator` dari file konfigurasi` csp.php` paket.
Menerapkan nonces dalam kebijakan
-Di kelas kebijakan CSP Anda (yang biasanya memperluas `spatie \ csp \ kebijakan \ dasar`), Anda menggunakan metode seperti` addnonceFordirective (directive :: script) `dan` addnonceFordirective (directive :: style) `untuk menunjukkan bahwa nonfes harus ditambahkan ke` script-src-src-src dan script-s.
- Ini memastikan nonce yang dihasilkan termasuk dalam header CSP untuk arahan ini, memungkinkan skrip inline dan gaya yang membawa atribut nonce yang cocok untuk dieksekusi.
middleware dan header injection
- Paket menyediakan middleware (`spatie \ csp \ addcspheaders`) yang Anda daftarkan di kernel http Anda atau pada rute tertentu.
- Middleware ini menghasilkan nonce untuk permintaan, menerapkan kebijakan CSP termasuk arahan nonce, dan menambahkan header CSP yang sesuai ke respons HTTP.
- Nilai nonce konsisten dalam permintaan, sehingga Anda dapat menggunakan arahan blade seperti `@nonce` atau fungsi helper seperti` csp_nonce () `dalam pandangan Anda untuk menghasilkan atribut nonce pada tag inline` `atau` `.
Integrasi dengan Laravel Vite
- Saat menggunakan Laravel Vite, paket ini dapat memanfaatkan generasi nonce bawaan Vite melalui `vite :: cspnonce ()`.
- Anda dapat membuat kelas generator nonce khusus yang mengembalikan nonce dari vite, memastikan bahwa nonce yang digunakan dalam header CSP cocok dengan nonce yang diterapkan pada skrip dan gaya yang disuntikkan secara vite.
- Ini menghindari pelanggaran CSP yang disebabkan oleh ketidakcocokan nonce dan memungkinkan skrip/gaya inline yang aman dalam aplikasi Laravel bertenaga vite.
Fitur tambahan
- Paket ini juga mendukung rendering kebijakan CSP sebagai tag meta (melalui `@cspmetatag` bilah arahan) ketika Anda tidak dapat mengontrol header HTTP.
- Ini mendukung mode hanya laporan untuk menguji kebijakan CSP tanpa memblokir sumber daya.
- Anda dapat menyesuaikan kebijakan untuk lingkungan yang berbeda (pengembangan vs produksi).
Catatan Praktis
- Anda harus memastikan output pada skrip/gaya inline menggunakan arahan blade `@nonce` atau` csp_nonce () `helper; Kalau tidak, browser akan memblokirnya.
- Browser seperti Chrome dapat menghapus atribut nonce dari tag skrip yang disuntikkan secara dinamis, jadi gunakan nonce dengan hati -hati dan uji perilaku.
- Nonce adalah string acak yang dihasilkan per permintaan, membuat skrip/gaya inline lebih aman dengan mengizinkan orang -orang dengan nonce yang benar untuk dieksekusi.
Singkatnya, Spatie/Laravel-CSP secara dinamis menghasilkan nonce per permintaan melalui generator nonce yang dapat dikonfigurasi, termasuk nonce ini di header CSP untuk skrip dan gaya, dan menyediakan arahan blade dan pembantu untuk menghasilkan atribut nonce pada elemen inline. Integrasi ini, terutama dengan Laravel Vite, memastikan skrip inline dan gaya diizinkan dengan aman oleh CSP tanpa menggunakan inline yang tidak aman, meningkatkan keamanan aplikasi sambil mempertahankan fungsionalitas [1] [2] [3] [4] [6].
Kutipan:
[1] https://github.com/spatie/laravel-csp
[2] https://laravel.io/forum/laravel-mix-and-content-security-policy
[3] https://laravel-news.com/package/spatie-laravel-csp
[4] https://stackoverflow.com/questions/75106343/nonce-is-always-empty-when-using-spatie-laravel-csp-with-laravel-and-vite-js
[5] https://github.com/spatie/laravel-csp/discussions/96
[6] https://stackoverflow.com/questions/77459507/how-to-add-csp-nonce-in-inline-tyle-and-script-injected-by-vue-in--a-laravel-and
[7] https://www.stackhawk.com/blog/laravel-content-security-policy-guide-what-it-is-and-how-to-enable-it/
[8] https://stackoverflow.com/questions/78864184/enable-nonce-to-laravel-official-packages
[9] https://developer.mozilla.org/en-us/docs/web/http/headers/content-security-policy/script-src