Jede Seite wird mit einer Content-Security-Policy ausgeliefert, und bisher erlaubte ihre Skriptregel jedes eingebettete Skript – womit sie nichts schützte. Jede Antwort trägt jetzt ein Einmal-Token, mit dem die eigenen Skripte der Website markiert sind, und der Browser führt kein Skript aus, das es nicht hat. Etwas, das in eine Seite eingeschleust wird, kann dieses Token nicht haben, weil es für jede Anfrage neu erzeugt wird. An Aussehen und Verhalten der Website sollte sich nichts ändern.
Die Sicherheitsrichtlinie des Browsers für Skripte verschärft
Seiten teilen dem Browser jetzt genau mit, welche Skripte laufen dürfen, sodass eingeschleuster Code blockiert wird, selbst wenn er je auf eine Seite gelangt.