Come impostare script-src in un'app packaged di Chrome?

Question

Sto provando a creare un'app packed di Chrome da una complicata web app. Attualmente sto ottenendo l'errore:

Refused to execute inline event handler because it violates the following Content Security Policy directive: "default-src 'self' chrome-extension-resource:". Note that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

Come imposto esplicitamente il criterio nel mio manifest.json? Ho provato cose come:

"content_security_policy": "default-src 'inline'; script-src 'inline'" 

ma ho ancora lo stesso messaggio di errore. La mia sintassi è errata o l'errore è un'aringa rossa?

Answer 1

Non è possibile allentare il CSP predefinito in un'app pacchettizzata. Se stai facendo qualcosa come <button id="foo" onclick="doSomething()"> allora dovresti invece includere un file JS separato nell'HTML dove fai un document.querySelector("#foo").onclick = doSomething; nel tuo gestore onload. Ciò sarà conforme al CSP e renderà la tua app più resistente agli attacchi XSS.

Answer 2

Dai un'occhiata a questo link, che mi ha indirizzato nella giusta direzione.

Access Web Resources via http://developer.chrome.com/

Answer 3

Ho affrontato lo stesso problema, e io leggendo this document ho trovato il seguente:

"sandbox": { 
    "pages": ["sandboxed.html"] 
}