web-dev-qa-db-ja.com

Cordova-次のコンテンツセキュリティポリシーに違反するため、インラインイベントハンドラーの実行を拒否します

Cordovaアプリケーション開発のトレーニングを行っていますが、コンテンツセキュリティポリシーの問題を回避しています。

アプリケーションはAndroidエミュレーターで実行されていますが、javascriptを実行する必要がある場合、NetBeans（出力ウィンドウ）にメッセージが表示されます。

Refused to execute inline event handler because it violates the following Content Security Policy directive: "script-src 'self' https://ssl.gstatic.com". (22:35:56:126 | error, security)
  at www/index.html:58

私のコードは以下です。これが私のindex.htmlです。 CSPがどのように機能するかを理解しようとしていますが、概念は理解できていると思いますが、この場合、問題は理解できません。 58行目はコメントです。

<html>        
    <head>   

        <meta http-equiv="Content-Security-Policy" content="default-src 'self' * data: gap: https://ssl.gstatic.com 'unsafe-eval'; style-src 'self'; script-src 'self' https://ssl.gstatic.com; media-src *">
        <meta name="format-detection" content="telephone=no">
        <meta name="msapplication-tap-highlight" content="no">
        <meta name="viewport" content="user-scalable=no, initial-scale=1, maximum-scale=1, minimum-scale=1, width=device-width">

        <title>Hello World</title>

        <link rel="stylesheet" type="text/css" href="css/index.css">

    </head>

    <body>
        <div class="app">
            <h1>Apache Cordova</h1>
            <div id="deviceready" class="blink">
                <p class="event listening">Connecting to Device</p>
                <p class="event received">Device is Ready</p>
            </div>
        </div>

        <!--
        line 58
        -->
        <button onclick="capturePhoto();">Capture Photo</button> <br>

        <img style="display:none;width:80px;height:80px;" id="smallImage" src="" />
        <img style="display:none;" id="largeImage" src="" />

        <script type="text/javascript" src="cordova.js"></script>
        <script type="text/javascript" src="js/index.js"></script>
    </body>        
  </html>

私はそれを必要とするので、あなたの助けに感謝します。ジェローム

javascriptandroidcordovacontent-security-policy
34
grome55

これを確認してください link 、それは言います：

インラインJavaScriptは実行されません。この制限により、インライン<script>ブロックとインラインイベントハンドラー(e.g. button onclick="...")の両方が禁止されます。

以下のようなクロスサイトスクリプティングの問題を回避するには

one.app#/home:1 Refused to execute inline event handler because it violates the following Content
Security Policy directive: "script-src 'self' 'nonce-d452460d-e219-a6e5-5709-c8af6ca82889'
chrome-extension: 'unsafe-inline' 'unsafe-eval' https://sfdc.azureedge.net 
*.na34.visual.force.com https://ssl.gstatic.com/accessibility/". Note that 'unsafe-inline'
is ignored if either a hash or nonce value is present in the source list.

onclick='myFun()"ではなくevent listener functionsを探します。

<body onload="main();">
    <button onclick="clickHandler(this)">
        Click for awesomeness!
    </button>
</body>
<script>
    function clickHandler(element) {
        // On click Code
    }

    function main() {
        // Initialization work goes here.
    }
</script>

新しいブラウザを使用するには、コンテンツと動作を明確に分離してコードを記述する必要があります。

<body>
  <button>Click for awesomeness!</button>
</body>
<script src="popup.js"></script>

<!-- popup.js -->
    document.addEventListener('DOMContentLoaded', function () {
      document.querySelector('button').addEventListener('click', clickHandler);
      main();
    });

    function clickHandler(element) {
        // On click Code
    }

    function main() {
        // Initialization work goes here.
    }
<!-- popup.js -->
52
Martin Cisneros Capistrán