angular - 使用严格的 Content-Security-Policy (CSP) Angular - 不要使用 unsafe-inline

Question

我尝试创建一个 Angular 单页应用程序，并希望使用限制性内容安全策略（出于安全原因）。我面临的问题是，我必须允许对内联样式进行不安全的评估：

Content-Security-Policy: 
default-src 'self';
script-src 'self' fonts.googleapis.com;
style-src 'self' 'unsafe-inline' fonts.googleapis.com blob:;
img-src 'self' data:;font-src 'self' fonts.gstatic.com;
connect-src 'self'; block-all-mixed-content

我搜索了互联网和堆栈溢出，但找不到摆脱这种情况的方法。我不使用 webpack - 因此我无法尝试 nonce 方法。有没有办法使用 nonce 或任何其他方式来避免使用 unsafe-inline？

非常感谢您的帮助。

标签： angularsecurity