Content Security Policy and SPAs

未關閉

#32,405 建立於 2026年2月2日 1 則留言 15 個 reaction 已指派 0 人在 GitHub 檢視

還沒有人認領這個 Issue。

評估

難度: 4/5
預估耗時: 3-5 天
新手友好度: 48/100

Issue 類型: 功能
描述清晰度: 基本清楚
活躍度: 停滯
技術堆疊: angular, typescript
領域: build-system, security

研究方向

從 Angular CLI 建置流程開始，檢查 bootstrap JavaScript 和 index.html 的處理方式。定義 hashes.json 的輸出格式，並驗證其中列出了所有 bootstrap 指令碼的雜湊值，以便後端可以在其 CSP 標頭中使用這些雜湊值。

由索引模型根據 Issue 內容生成。

描述

angular/build:application area: @angular/build feature feature: votes required

Which @angular/* package(s) are relevant/related to the feature request?

No response

Description

Currently CSP and SPAs don't work well together.

There is however something very simple we could do to make CSP 100% compatible with SPA.

Proposed solution

When Angular builds the app, also output a file called hashes.json. This file contains a list of hashes of all of the bootstrap js scripts. Then, in your backend, say asp.net core, you read this file and add the hashes to your CSP header.

This would be a very simple change that would make a lot of people's lives much easier.

Alternatives considered

AutoCSP is not ideal because it uses the meta tag, not http headers.
Setting the nonce to CSP_NONCE doesn't work with strict-dynamic.
Setting the nonce in index.html breaks caching.

主要語言: TypeScript
星號: 27k
分支: 11.8k
平均合併: 17 小時 25 分鐘
30 天內合併 PR: 183

貢獻指南

開啟貢獻指南

從這裡開始

先讀完整個 Issue，再讀專案的貢獻指南。
在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
Fork 儲存庫，在一個分支上完成修改。
送出 Pull Request，並在描述裡引用這個 Issue 編號。

angular/angular-cli 的其他 Issue

Can't use an array of hostnames in --allowedHosts cli parameter in @angular/build:dev-server 未關閉

area: @angular/build gemini-triaged

難度 2/5 1-3 小時新手友好度 74/100

angular/angular-cli#33955 · 2026年8月28日建立
Allow tests to pass without any test files (e.g. via Vitest `passWithNoTests`) 未關閉

area: @angular/cli gemini-triaged

難度 2/5 1-3 小時新手友好度 72/100

angular/angular-cli#33055 · 1 則留言 · 3 個 reaction · 2026年4月26日建立
library builder: tslib is not added to the output package.json 未關閉

angular/build:library area: @angular/build gemini-triaged

angular/angular-cli#34131 · 已指派 1 人 · 2026年9月20日建立
library builder: a name re-exported through two "export *" paths is dropped from the bundle 未關閉

angular/build:library area: @angular/build gemini-triaged

angular/angular-cli#34130 · 已指派 1 人 · 2026年9月20日建立
library builder: entry points a/b and a-b are built into the same bundle 未關閉

angular/build:library area: @angular/build gemini-triaged

angular/angular-cli#34128 · 已指派 1 人 · 2026年9月19日建立

查看 angular/angular-cli 的全部 Issue

相似的 Issue

[MagmaFusion] rapports qualité - contenus des rubriques en anglais manquants 未關閉

難度 2/5 1-3 小時新手友好度 65/100

InseeFr/Bauhaus#1634 · 2026年9月23日建立
[Bug]: SSH host picker duplicates configured aliases and known_hosts targets 未關閉

難度 2/5 1-3 小時新手友好度 75/100

pingdotgg/t3code#13270 · 2026年9月23日建立
resetSseResponseWait and noteRequestProgress silently fail to re-arm the 60s relay timeout if progress tokens arrive as strings 未關閉

bug v2

難度 2/5 1-3 小時新手友好度 75/100

modelcontextprotocol/inspector#2458 · 1 則留言 · 2026年9月23日建立
Resources: Update work of changsha 未關閉

難度 1/5 1 小時以內新手友好度 75/100

railmapgen/rmp-gallery#4068 · 2026年9月23日建立
sass-1.105.0.tgz: 1 vulnerabilities (highest severity is: 7.5) 未關閉

Mend: dependency security vulnerability status: needs triage 🕵️‍♀️

難度 2/5 1-3 小時新手友好度 70/100

carbon-design-system/ibm-products#9907 · 2026年9月23日建立

更多 TypeScript Issue