dsh-design-studio 0.9.0 → 0.11.0

package/lib/bundle.js

@@ -222,7 +222,16 @@ export function bundle(html, { key, read, tail = '', base = '', lead = '' }) {
 }
 
 /** picker 和它的配置，内联成一个 <script>（parents：右侧栏所在的那个源；href：这一屏原来的地址） */
-export function inlinePicker(src, parent, href = '') {
-  const cfg = JSON.stringify({ live: false, remote: true, href, parents: parent ? [parent] : [] })
-  return `<script>window.__DSH_DESIGN__=${escScript(cfg)};\n${escScript(src)}</script>`
+export function inlinePicker(src, parent, href = '', nonce = '') {
+  const cfg = JSON.stringify({ live: false, remote: true, href, parents: parent ? [parent] : [], strict: !!nonce })
+  return `<script${nonce ? ` nonce="${nonce}"` : ''}>window.__DSH_DESIGN__=${escScript(cfg)};\n${escScript(src)}</script>`
+}
+
+/**
+ * 别人做的设计打包远程看：页面最前面放一条 CSP（只有带 nonce 的我们的脚本能跑，什么都不联网，表单交不出去）。
+ * 打包后样式、图片都已经是 data: / 内联的，所以只放行 data: 和 blob:
+ */
+export function strictMeta(nonce) {
+  const csp = `default-src 'none'; script-src 'nonce-${nonce}'; style-src 'unsafe-inline'; img-src data: blob:; font-src data:; media-src data: blob:; connect-src 'none'; frame-src 'none'; child-src 'none'; worker-src 'none'; object-src 'none'; form-action 'none'; base-uri 'none'`
+  return `<meta http-equiv="Content-Security-Policy" content="${csp}">`
 }