Библиотека Ember, вызывающая предупреждение об устаревании атрибутов стиля привязки

Я пытаюсь использовать ember-cli-file-picker для загрузить файл в мое приложение для обработки в браузере. Это работает, но вызывает следующую ошибку устаревания

ПРЕДУПРЕЖДЕНИЕ. Атрибуты стиля привязки могут привести к уязвимостям межсайтового скриптинга; пожалуйста, убедитесь, что связываемые значения правильно экранированы. Для получения дополнительной информации, в том числе о том, как отключить это предупреждение, см. http://emberjs.com/deprecations/v1.x/#toc_warning-when-binding-style- атрибуты.

[Только отчет] Отказано в применении встроенного стиля, поскольку он нарушает следующую директиву политики безопасности контента: «style-src 'self'». Для включения встроенного выполнения требуется либо ключевое слово unsafe-inline, либо хэш ('sha256-...'), либо одноразовый номер ('nonce-...').

Я думаю, что это из-за

progressStyle: computed('progressValue', function() {
  var width = this.get('progressValue') || 0;

  return htmlSafe('width: ' + width + '%;');
})

в библиотеке. Я новичок в ember, и я не уверен, что библиотека безопасна, и не уверен, как отключить предупреждение об устаревании, используя SafeString, если это так. Что я должен делать?


javascript filepicker ember.js ember-cli
person Henry Marshall    schedule 29.04.2015    source источник

Ответы (1)


arrow_upward
1
arrow_downward

Это проблема CSP.

Вы можете отключить это предупреждение, отредактировав файл config/environment.js:

Находить:

ENV.contentSecurityPolicy = {

И отредактируйте атрибут «style-src», чтобы включить «unsafe-inline».

'style-src': "'self' 'unsafe-inline'",
person David Duncan    schedule 29.04.2015
comment
Это отключает раздел «Только отчет», но не часть стиля «Предупреждение: привязка». Любой способ удалить оба? - person Henry Marshall; 29.04.2015
comment
Я думаю, что, поскольку это поднято библиотекой, это проблема на их стороне. Я бы поднял тикет здесь: github.com/funkensturm/ember-cli-file- сборщик . Похоже, им нужно использовать Ember.Handlebars.SafeString отсюда: guides. emberjs.com/v1.10.0/templates/writing-helpers - person David Duncan; 29.04.2015
comment
Просто отправил запрос. Спасибо! - person Henry Marshall; 29.04.2015
comment
К вашему сведению, как правило, добавлять «небезопасно-встроенный», как в этом ответе, нехорошо. Это может оставить вас открытыми для внедрения CSS. В любом случае, похоже, что библиотека исправила эту проблему в выпуске 0.0.6. - person yagni; 22.03.2019