Evan Hu
5d5b661e14
这些页面会内联第三方皮肤的 CSS，而全仓此前没有任何 CSP，也没有 WebResourceRequested 过滤。上一个提交在注入阶段丢掉了远程引用，这一条是第二道防线：即使将来某条路径漏过，浏览器层面也不会真的把请求发出去。 策略按这些页面实际用到的资源来定，没有多给：default-src 'none' 关闭其余一切（包括 connect-src，这些页面不含任何 fetch/XHR/WebSocket）；script-src 放行 https://msime-contracts（schema.js 与 runtime.js）与内联脚本；style-src 放行内联样式；img-src 与 font-src 放行 data: 以及 https://appassets、https://candidate-skins 两个虚拟主机——皮肤被内联时正是变成这两种形式。 覆盖 candwnd、ftb、menu、default-themes 下的 15 个完整文档。body/ 下的 8 个文件是注入宿主文档的片段，没有 <head>，不适用。