Content Security Policy and SPAs

Offen

#32,405 erstellt am 02.2.2026 1 Kommentar 15 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 48/100

Issue-Typ: Feature
Klarheit: Größtenteils klar
Aktivitätsstatus: Veraltet
Tech-Stack: angular, typescript
Bereich: build-system, security

Rechercherichtung

Beginne mit der Angular CLI-Build-Pipeline und untersuche, wie Bootstrap-JavaScript und index.html verarbeitet werden. Definiere das Ausgabeformat für hashes.json und überprüfe, dass darin Hashes für alle Bootstrap-Skripte aufgeführt sind, damit ein Backend sie in seinem CSP-Header verwenden kann.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

angular/build:application area: @angular/build feature feature: votes required

Which @angular/* package(s) are relevant/related to the feature request?

No response

Description

Currently CSP and SPAs don't work well together.

There is however something very simple we could do to make CSP 100% compatible with SPA.

Proposed solution

When Angular builds the app, also output a file called hashes.json. This file contains a list of hashes of all of the bootstrap js scripts. Then, in your backend, say asp.net core, you read this file and add the hashes to your CSP header.

This would be a very simple change that would make a lot of people's lives much easier.

Alternatives considered

AutoCSP is not ideal because it uses the meta tag, not http headers.
Setting the nonce to CSP_NONCE doesn't work with strict-dynamic.
Setting the nonce in index.html breaks caching.

Vorherrschende Sprache: TypeScript
Sterne: 27k
Forks: 11.8k
Ø Merge: 16 Std. 35 Min.
Gemergte PRs (30 T.): 176

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus angular/angular-cli

Can't use an array of hostnames in --allowedHosts cli parameter in @angular/build:dev-server Offen

area: @angular/build gemini-triaged

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 74/100

angular/angular-cli#33955 · Erstellt am 28.8.2026
Allow tests to pass without any test files (e.g. via Vitest `passWithNoTests`) Offen

area: @angular/cli gemini-triaged

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

angular/angular-cli#33055 · 1 Kommentar · 3 Reaktionen · Erstellt am 26.4.2026
unit-test: with --coverage, a setup file's hooks reach only the first spec file of each worker Offen

area: @angular/build gemini-triaged

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 72/100

angular/angular-cli#34137 · Erstellt am 21.9.2026
library builder: tslib is not added to the output package.json Offen

angular/build:library area: @angular/build gemini-triaged

angular/angular-cli#34131 · 1 zugewiesene Person · Erstellt am 20.9.2026
library builder: a name re-exported through two "export *" paths is dropped from the bundle Offen

angular/build:library area: @angular/build gemini-triaged

angular/angular-cli#34130 · 1 zugewiesene Person · Erstellt am 20.9.2026

Alle Issues in angular/angular-cli