কীভাবে Chrome এ সামগ্রী সুরক্ষা নীতি শিথিল করবেন?


18

ইদানীং, ফেসবুকের মতো কিছু ওয়েবসাইট "অবিশ্বস্ত উত্স" থেকে স্ক্রিপ্টগুলি লোড করতে বাধা দেওয়ার জন্য বিষয়বস্তু সুরক্ষা নীতি (সিএসপি) ব্যবহার করে । উদাহরণস্বরূপ, ফেসবুক এইচটিএমএল বিষয়বস্তুর অনুরোধ করার সময় (যেমন https://www.facebook.com ), ফেসবুকের এইচটিটিপি প্রতিক্রিয়ায় নিম্নলিখিত প্রতিক্রিয়া শিরোনামটি অন্তর্ভুক্ত করা হয়েছে:

x-webkit-csp:default-src *;script-src https://*.facebook.com http://*.facebook.com https://*.fbcdn.net http://*.fbcdn.net *.facebook.net *.google-analytics.com *.virtualearth.net *.google.com 127.0.0.1:* *.spotilocal.com:* chrome-extension://lifbcibllhkdhoafpjfnlhfpfgnpldfl 'unsafe-inline' 'unsafe-eval' https://*.akamaihd.net http://*.akamaihd.net;style-src * 'unsafe-inline';connect-src https://*.facebook.com http://*.facebook.com https://*.fbcdn.net http://*.fbcdn.net *.facebook.net *.spotilocal.com:* https://*.akamaihd.net ws://*.facebook.com:* http://*.akamaihd.net;

এটি কিছু বুকমার্কলেটের উপর প্রভাব ফেলেছে যা অবিশ্বস্ত উত্স থেকে জাভাস্ক্রিপ্ট লাইব্রেরিগুলি লোড করতে এবং সম্পাদন করতে হবে।

উদাহরণস্বরূপ, যখনই আমি কোনও ফেসবুক পৃষ্ঠায় অ্যাঙ্কারস শিরোনামের বুকমার্কলেট চালানোর চেষ্টা করি তখন এই বুকমার্কলেটটি কার্যকর হয় না কারণ এটি অবিশ্বস্ত উত্স থেকে jQuery লোড করার চেষ্টা করে। Chrome এর বিকাশকারী কনসোলে, এটি বলবে:

Refused to load the script 'http://ajax.googleapis.com/ajax/libs/jquery/1.3/jquery.min.js' because it violates the following Content Security Policy directive: "script-src https://*.facebook.com http://*.facebook.com https://*.fbcdn.net http://*.fbcdn.net *.facebook.net *.google-analytics.com *.virtualearth.net *.google.com 127.0.0.1:* *.spotilocal.com:* chrome-extension://lifbcibllhkdhoafpjfnlhfpfgnpldfl 'unsafe-inline' 'unsafe-eval' https://*.akamaihd.net http://*.akamaihd.net".

আমি এই বিষয় সম্পর্কে একটি ক্রোম ডকুমেন্টেশন পৃষ্ঠা পেয়েছি, তবে এটি কেবল ক্রোম এক্সটেনশনের ক্ষেত্রেই প্রযোজ্য

আমি এমন সমাধান খুঁজছি যা আমাকে অনুমতি দেয়

  • হয় একক সময় সিএসপি নিষ্ক্রিয় করুন
  • বা স্থায়ীভাবে আমার বিশ্বস্ত উত্স শ্বেত তালিকাতে।


@ রুডি কি ক্রোম মোবাইলের জন্য কাজ করবে?
মাইকেল 23

@ মিশেল যদি ক্রোম মোবাইল আধুনিক-ইশ এক্সটেনশানগুলি সমর্থন করে। ওয়েরকোয়েস্ট এক ধরণের নতুন। আমি ক্রোম মোবাইল ব্যবহার করি না, তাই আমার কোনও ধারণা নেই।
রুডি

উত্তর:


2

ক্রম অ্যাপস দ্বারা অনুমোদিত পদ্ধতিগুলি

টেম্প্লেটিং লাইব্রেরি ব্যবহার করুন

প্রম্পম্পাইলযুক্ত টেম্পলেটগুলি সরবরাহ করে এমন একটি লাইব্রেরি ব্যবহার করুন এবং আপনি প্রস্তুত। আপনি এখনও এমন একটি লাইব্রেরি ব্যবহার করতে পারেন যা প্রাক-সংকলন সরবরাহ করে না, তবে এটির জন্য আপনার পক্ষ থেকে কিছু কাজ প্রয়োজন হবে এবং সেখানে বিধিনিষেধ রয়েছে।

আপনি 'ইওল' জিনিসগুলি করতে চান এমন কোনও সামগ্রী আলাদা করতে আপনাকে স্যান্ডবক্সিং ব্যবহার করতে হবে। স্যান্ডবক্সিং আপনার নির্দিষ্ট করা সামগ্রীতে সিএসপি তুলবে।

স্যান্ডবক্স স্থানীয় সামগ্রী

স্যান্ডবক্সিং নির্দিষ্ট পৃষ্ঠাগুলিকে স্যান্ডবক্সযুক্ত, অনন্য উত্সে পরিবেশন করার অনুমতি দেয়। এরপরে এই পৃষ্ঠাগুলি তাদের সামগ্রী সুরক্ষা নীতি থেকে অব্যাহতিপ্রাপ্ত। স্যান্ডবক্সযুক্ত পৃষ্ঠাগুলি iframes, ইনলাইন স্ক্রিপ্টিং এবং ইভাল () ব্যবহার করতে পারে (এবং শেষ দুটি এটি প্রতিরোধ করা হচ্ছে)। এটি 'অনিরাপদ-ইনলাইন' এবং 'অনিরাপদ-ইভাল' ঠিক করবে।

  • স্যান্ডবক্সে ইনলাইন স্ক্রিপ্ট ব্যবহার করুন
  • ম্যানিফেস্টে স্যান্ডবক্স অন্তর্ভুক্ত করুন

দূরবর্তী উত্স অ্যাক্সেস

আপনি এক্সএমএলএইচটিটিপিআরকুয়েস্টের মাধ্যমে রিমোট রিসোর্সগুলি আনতে এবং ব্লব :, ডেটা:, বা ফাইল সিস্টেম: ইউআরএলের মাধ্যমে সেগুলি সরবরাহ করতে পারেন। এটি jQuery আনার সমস্যা ঠিক করা উচিত।

প্রকাশ প্রয়োজন

ক্রস-অরিজিন করতে সক্ষম হতে XMLHttpRequestsআপনাকে দূরবর্তী URL- এর হোস্টের জন্য অনুমতি যুক্ত করতে হবে।

ক্রশ-অরিজিন XMLHttpRequest

অ্যাপটিতে দূরবর্তী URL আনুন এবং এর সামগ্রীগুলি blob:URL হিসাবে পরিবেশন করুন ।


আমি মনে করি না আপনি এগুলির কোনও কিছুই করতে পারেন। unsafe-evalএবং unsafe-inlineপ্রতিক্রিয়া শিরোনামগুলি ঠিক করতে , কেবলমাত্র স্ক্রিপ্টের মালিক কোডটি ঠিক করতে পারেন বা এটি সর্বজনীন ডোমেনে থাকলে আপনি এটি ঠিক করতে পারেন। এই সমস্ত সম্ভবত এককালীন ফিক্স।


হ্যাক

UnsafeWindow

http://wiki.greasespot.net/UnsafeWindow

সামগ্রী স্ক্রিপ্ট ইনজেকশন

http://wiki.greasespot.net/Content_Script_Injection


হ্যাকগুলির অবশ্য ডাউনসাইড রয়েছে কারণ তারা অবশ্যই কমপক্ষে প্রথমটিতে সুরক্ষা গর্ত সৃষ্টি করতে জানে।


0

আপনি কনটেন্ট ট্যাবে এই সেটিংসটি সম্পাদনা করতে পারেন, যা আপনি chrome://settings/contentঠিকানা বারে টাইপ করে সরাসরি অ্যাক্সেস করতে পারেন । আপনি নির্দিষ্ট সামগ্রীর ধরণের উপর নির্দিষ্ট ডোমেনগুলি সাদা করতে পারেন।


9
কন্টেন্ট সেটিংসে আমি ঠিক কোথায় এটি করি এবং কীভাবে? আমি আমার সাইটটিকে "কুকি এবং সাইটের ডেটা ব্যতিক্রম" এ যুক্ত করার চেষ্টা করেছি no অন্য কোনও সেটিংস প্রাসঙ্গিক বলে মনে হচ্ছে না।
মাইকেল
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.