v0.5.138: CSP script-src-attr unsafe-inline для onchange

2026-06-16 05:05:37 +04:00
parent 0e1f34c913
commit 08abab6e36
3 changed files with 3 additions and 2 deletions
@@ -26,6 +26,7 @@ const CSP_DIRECTIVES = {
  defaultSrc:     ["'self'"],
  // 'unsafe-inline' нужен пока стили и скрипты inline в EJS.
  scriptSrc:      ["'self'", "'unsafe-inline'"],
+  scriptSrcAttr:  ["'unsafe-inline'"],   // для onchange/onclick в EJS
  styleSrc:       ["'self'", "'unsafe-inline'"],
  imgSrc:         ["'self'", 'data:'],   // data: для SVG-иконок
  fontSrc:        ["'self'"],