Magento'nun en son sürümüyle (şu anda 2.1.1) iyi çalışan bir mağazam var ve Apache 2.4.7'de (Ubuntu 14.04) İçerik Güvenliği Politikası ile güvenliği artırmaya çalışıyorum. Tüm "<script>" etiketini içerik sayfalarından kaldırdım ve ayrılmış files.js oluşturdum.
Apache'nin güvenliğinde şunları ayarladım:
Üstbilgi kümesi Content-Security-Policy "default-src 'self'"
Ancak, çalışmıyor. Görünüşe göre Magento bazı "<script>" etiketleri ekledi. İlk kaynak satırlarından örnek:
<! doctype html>
<html lang = "pt-BR">
<head>
<script>
var gerektiren = {
"baseUrl": " http://example.com/pub/static/frontend/Magento/luma/pt_BR "
}; </ script>
Bana öyle geliyor ki, CSP'yi yapılandırmak için "güvensiz inline" ı etkinleştirmem gerekiyordu ki bu da gerçekte güvenli değil.
Üstbilgi, Content-Security-Policy'yi "default-src 'self' script-src 'self' 'güvensiz-satır içi' 'güvensiz-eval'" olarak ayarlar.
Magento'nun CSP ile düzgün bir şekilde ayarlanmasını bilen var mı? Teşekkür ederim!