Trusted Types הם תכונת אבטחה של פלטפורמת אינטרנט שעוזרת למנוע מתקפות XSS מסוימות שמבוססות על DOM, על ידי חסימה של נקודות הזרקה מסוכנות (כמו .innerHTML) משימוש בערכי מחרוזות שלא אומתו. אם נקודת הזרקה מסוכנת נחסמת, נוצרת הפרה.
הכותרת Content-Security-Policy (CSP) משתמשת בהוראה require-trusted-types-for כדי לאכוף סוגים מהימנים.
איך הביקורת של Lighthouse נכשלת
הביקורת תעבור אם כותרת ה-CSP מוגדרת יחד עם ההנחיה require-trusted-types-for והסקריפט כערך שלה. הביקורת תיכשל אם כותרת ה-CSP לא מוגדרת, או אם היא מוגדרת אבל חסרה בה ההוראה Trusted Types.
הגדרת כותרת CSP והוראה של סוגים מהימנים כדי לצמצם את הסיכון ל-XSS מבוסס DOM
סוכני משתמשים משתמשים בהנחיית require-trusted-types-for כדי לקבוע אילו נתונים מועברים לפונקציות של DOM XSS sink. הערך script של ההנחיה הזו מוודא שפונקציות של יעד להחדרת XSS ב-DOM מקבלות רק סוגים שנוצרו על ידי כללי מדיניות של סוגים מהימנים, ולא מאפשרות מחרוזות:
Content-Security-Policy: require-trusted-types-for 'script';