JSBlog

Címke CSP

Webbiztonság

Az innerHTML mostantól típusellenőrzött lehet: a Trusted Types API bekerült minden nagy böngészőbe

Diagram: egy nem megbízható string a Trusted Types szabályzaton (policy) áthaladva TrustedHTML objektummá alakul, mielőtt eléri az innerHTML sinket, míg a szabályzat nélküli string a require-trusted-types-for CSP direktívánál TypeError-ral elakad

A CSP a forrásokat szűri, de nem véd a saját kódod innerHTML-hívásai ellen. A Trusted Types API típust ad a stringeknek a DOM veszélyes pontjain – és 2026-ra a Firefox és a Safari is felzárkózott, így most már mindhárom nagy böngészőmotor kikényszeríti.

Szabó Benjámin
2026.04.09.

Webbiztonság

A CSP ne domaineket bízzon meg: nonce és strict-dynamic az XSS ellen

Nonce-alapú Content Security Policy folyamat: a szerver csak az ellenőrzött szkripteket engedi futni

A nonce-alapú, strict-dynamic CSP nem hostlistákat, hanem az induló, valóban megbízható JavaScriptet jelöli ki. Így vezesd be úgy, hogy a cache és a régebbi kliensek se legyenek vakfoltok.

Szabó Benjámin
2026.03.10.