CSP浏览器策略+ Zopim小部件（+下划线）

Question

过去几天，我一直在努力添加适当的Meteor CSP软件包，浏览器政策。到目前为止，我遵循了这些资源：

• https://dweldon.silvrback.com/browser-policy
• https://themeteorchef.com/snippets/using-the-browser-policy-package/

一开始事情有点粗糙，但我们接近一些事情，最后一块拼图是现场聊天Zopim的小部件不是我们新政策的粉丝。我尝试将白名单列入白名单，并将zopim的小部件代码放入Meteor.startup调用某个地方但由于某些unsafe-eval导致仍然无法加载，如下所示。

由于我不想放松更多我的政策，是否有任何解决方法或者我应该忘记Zopim并尝试其他一些工具（我很高兴听到关于你是否有任何建议。）

加分：此外，我首先使用BrowserPolicy.content.disallowEval();制定了我的政策，但MDG的underscore套餐开始下降，我不得不允许它。允许评估显然不理想，我很高兴听到任何其他选择。

Answer 1

您正在点击我帖子中“问题”部分的第一个要点。您必须决定禁止 "Content-type" : "application/json" 对您的重要性是否比特定的第三方脚本更重要。在我们的例子中，我们在外部脚本被修改时允许eval几天（幸运的是创建者同意了更改）。发送电子邮件并解释您认为他们的脚本对您的网站构成风险因为您无法启用严格的内容安全策略，这绝不会让您感到痛苦。

我们目前设置eval并且没有遇到任何问题。我发现很难相信核心软件包会违反该指令。也许其他一些软件包正在引起它，但如果没有详细分析你的依赖关系，很难说。