2026-10-31
Безопасное управление сторонними скриптами: инвентаризация, SRI, CSP и адреса отправки форм
Сторонний скрипт может читать страницу, на которой выполняется, включая ввод пользователя. Если поставщик взломан или файл подменён, пользователи пострадают, даже если ваш сервер не тронут. Порядок защиты: перечислить всё, что выполняется, убрать ненужное, добавить SRI к неизменным файлам или раздавать проверенную копию со своего сайта, ограничить источники и адресатов через CSP и регулярно проверять изменения. CSP form-action не наследует default-src, поэтому его задают явно.