Magento 2.1.1 - सामग्री सुरक्षा नीति के साथ सुरक्षा में सुधार


10

मेरे पास Magento के नवीनतम संस्करण (वर्तमान में 2.1.1) के साथ ठीक चलने वाला एक स्टोर है और मैं Apache 2.4.7 (Ubuntu 14.04) पर सामग्री सुरक्षा नीति के माध्यम से सुरक्षा में सुधार करने की कोशिश कर रहा हूं। मैंने सभी "<स्क्रिप्ट>" टैग को सामग्री पृष्ठों से हटा दिया था और अलग-अलग फ़ाइलों को बनाया था। js

अपाचे की सुरक्षा पर मैंने सेट किया है:

हेडर ने सामग्री-सुरक्षा-नीति "डिफ़ॉल्ट-src 'स्व'" सेट की

हालाँकि, यह काम नहीं कर रहा है। ऐसा लगता है कि Magento ने ही कुछ "<script>" टैग जोड़े हैं। बहुत पहले स्रोत लाइनों से उदाहरण:

<! doctype html>
<html lang = "pt-BR">
<head>
<script>
var आवश्यकता = {
"baseUrl": " http://example.com/pub/static/frontend/Magento/luma/pt_BR "
}; </ script>

तो मुझे ऐसा लगता है कि CSP को कॉन्फ़िगर करने के लिए मुझे "असुरक्षित-इनलाइन" सक्षम करना होगा जो कि वास्तविक सुरक्षित नहीं है।

हेडर ने सामग्री-सुरक्षा-नीति "डिफ़ॉल्ट-src 'स्वयं' script-src 'self' 'असुरक्षित-इनलाइन' 'असुरक्षित-eval" सेट किया।

किसी को पता है कि कैसे Magento ठीक से CSP के साथ सेट है? धन्यवाद!

जवाबों:


0

सरल उत्तर है: क्षमा करें, यह "सुरक्षित" बनाने के लिए सरल नहीं है।

सकारात्मक पक्ष यह है, आपके पास लगभग कोई उपयोगकर्ता योगदान सामग्री नहीं है और इसलिए यह एक छोटा सा नकारात्मक पहलू है। कम से कम सरल और सामान्य मामले के लिए।

मैं देख रहा हूं कि यह एक ऐसी सेटिंग है जिसे पूरी तरह से काम करना चाहिए और व्यवस्थापक क्षेत्र के लिए लागू किया जाना चाहिए, और सामान्य रूप से भी।

अपने प्रश्न का उत्तर देने के लिए, यह Magento फ़ोरम में फ़ीचर रिक्वेस्ट करने का सबसे आसान तरीका हो सकता है और इसके लिए magento समुदाय के कुछ लोगों को पिंग कर सकता है। क्योंकि, इसे मॉड्यूल क्रिएटर्स के लिए देवदास में कुछ सलाह देने की भी आवश्यकता है, अन्यथा लोगों को नियमित रूप से मॉड्यूल के साथ समस्या होगी जो इस स्तर की सुरक्षा के अनुकूल नहीं है।

क्षमा करें यदि यह ऐसा उत्तर नहीं है जिसकी आप अपेक्षा करेंगे। मुख्य समस्या शायद जावास्क्रिप्ट है और इसे कैसे व्यवस्थित किया जाता है, कुछ हिस्सों को इसकी हमेशा और जल्दी की उम्मीद हो सकती है। इसके अलावा, मैं नहीं जानता कि क्या अभी तक magento2 में बदल गया है, लेकिन Magento 1 में कुछ अन्य जगहें भी थीं जो इनलाइन JS पर निर्भर थीं, उन्हें अभी तक पूरी तरह से रिफैक्ट नहीं किया जा सकता है।

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.