WordPress + Disqus + odmówił wykonania wbudowanego skryptu

Question

Załadowałem Disquss na moją stronę Wordpress, która działa na HTTPS. Problem polega na tym, że podczas gdy komentarze są wyświetlane u dołu strony, są białe (a ponieważ tło strony jest również białe, nie są widoczne).

Jeśli otworzę Inspektora w Chrome, na karcie Console zostanie wydrukowany następujący komunikat o błędzie.

Refused to execute inline script because it violates the following 
Content Security Policy directive: "script-src https://*.twitter.com:* 
https://api.adsnative.com/v1/ad.json *.adsafeprotected.com *.google-analytics.com https://glitter-services.disqus.com 
https://*.services.disqus.com:* disqus.com http://*.twitter.com:* 
a.disquscdn.com api.taboola.com referrer.disqus.com *.scorecardresearch.com 
*.moatads.com https://admin.appnext.com/offerWallApi.aspx 'unsafe-eval' 
https://mobile.adnxs.com/mob *.services.disqus.com:*". Either the 'unsafe- 
inline' keyword, a hash ('sha256-...'), or a nonce ('nonce-...') is required 
to enable inline execution. 

Dzieje się tak z powodu wyskakujących okienek rozszerzenia w Chrome, ale chciałbym, aby włączyć go treścią polityki bezpieczeństwa: http://www.html5rocks.com/en/tutorials/security/content-security-policy/. Zasadniczo błąd występuje w schemacie chrome-extension: // *, więc muszę dodać odpowiedni wpis do Content-Security-Policy, aby zezwolić na rozszerzenia chrome.

Jak wyłączyć politykę bezpieczeństwa dla rozszerzeń chrome?

Answer 1

Jak wyłączyć politykę bezpieczeństwa dla rozszerzeń chrome?

Nie. Dodatkowo możesz nie można nie.

Potrzebuję dodać odpowiedni wpis do Content-Security-Policy, aby zezwolić na rozszerzenia chrome.

CSP rozszerzeń jest częścią (lokalnego) rozszerzenia.

natomiast komentarze są wyświetlane w dolnej części strony, są one białe Brzmi jak sprawa CSS do mnie ... co o color: black; na tekst?

Lub krótko: strony internetowe nie są w stanie zepsuć rozszerzeń. Co jest dobre - nie chcę, żeby Facebook wyłączał mój CSP i wysyłał moje osobiste preferencje porno (od dodatku PornLiner) do mojego profilu.

Answer 2

To nie jest coś, co możesz (lub powinieneś) sensownie rozwiązać. To zależy od dostawcy rozszerzenia do properly implement themselves. Faktem jest, że rozszerzenie próbuje wprowadzić kod inline i jest zatrzymywane przez Politykę bezpieczeństwa treści, ponieważ CSP jest blokowany. Tak jak powinno, ponieważ rozszerzenie jest nie do odróżnienia od złośliwego oprogramowania z jego perspektywy.

Mogłeś (ale nie powinno ) po prostu dodać do zawartości zasady polityki bezpieczeństwa witryny, aby umożliwić rozszerzenie biec ... ale to jest potencjalnie niebezpieczne, bardzo konkretnych przypadków i powinny być w zasadzie tylko kiedykolwiek odbywa się w kontekst przedsiębiorstwa, w którym każdy ma (źle zakodowane) rozszerzenie przeglądarki, które jest wymagane do pracy z Twoją witryną. I nawet wtedy ponowne kodowanie rozszerzenia byłoby na ogół preferowane.