我可以禁止外部可执行内容（外部 javascript）吗？

Question

我正在开发一个执行客户端解密的 javascript 程序。该代码是从受信任的来源检索的，但它使用 gui 工具包（语义 ui）。我已经打包了语义用户界面，但是，它的语义仍然从谷歌（字体）加载了一些外部内容。我想确保没有第三方能够注入代码并干扰客户端解密（窃取密码）。是否有可能禁止所有不是来自源域的可执行内容？

Answer 1

完全可以将可执行内容（或任何内容）限制为源自您的域的内容。你会想使用Content Security Policy，你可能会使用script-src 'self'; font-src 'fonts.google.com'之类的东西。您还应该使用https 使攻击者更难篡改/欺骗脚本。