Discussion :

[steve348]

Bonjour,

Je voulais bloquer l'activation de style en ligne dans le Content-Security-Policy HTTP header

j'ai donc créé une nonce pour mes styles, les styles fonctionnent tout va bien....

MAIS il y a toujours un MAIS

Si je passe par le validateur W3C, il m'indique le message suivant :

Content-Security-Policy HTTP header: Bad content security policy: Invalid base64-value (should be multiple of 4 bytes: 6).


voici le code que j'utilise pour créer ma nonce :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$nonce = base64_encode(openssl_random_pseudo_bytes(32));

comment faire une nonce compatible et valide ?

Merci à tous

[Nazoïde]

Voir https://content-security-policy.com/

[steve348]

J'utilise bien

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

header("Content-Security-Policy: default-src 'self';  style-src 'nonce-source' 'nonce-"xxxxxxxxxxxxxxxx"');

Mais je ne sais pas comment construire une nonce valide

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$nonce = base64_encode(openssl_random_pseudo_bytes(32));

Cela fonctionne mais ce n'est conforme

Content-Security-Policy HTTP header: Bad content security policy: Invalid base64-value (should be multiple of 4 bytes: 6).

[mathieu]

ce n'est peut-être pas cette valeur qui pose problème mais le "nonce-source" puisque le mot "source" fait 6 caractères