cloudflare workers 传入网页时注入脚本的话，是不是服务端设置 CSP 也没办法保证完整性？

[raw0xff]

域名 DNS 都在 cloudflare 内管理，worker.js 可以在获取服务端内容后修改然后再发给客户端，那岂不是可以轻易绕过 CSP ？作为服务端网页如何保证自己完整性？

[raw0xff]

@0o0O0o0O0o 好像真的无解，即便关键代码写成 wasm 也没啥用。

[raw0xff]

@caomingjun 对不起，你是对的，标头可以修改，但是返回给浏览器前 cloudflare 会重新改回来。所以网站是否用了 worker 是可以从响应头分辨的。

[forty]

很简单，把验证信息放入另一个不经过 cloudflare 的域名站点。
主体内容走 cf, 验证信息走另外通道。

[raw0xff]

@0o0O0o0O0o 大佬方便飞机向您求教吗？

我的 rsa 公钥

-----BEGIN RSA PUBLIC KEY-----
MIGJAoGBALJxVGJhfs6tY1kKUl9y4k/5qXoYTn+/mS8keK9CmzvyPJ63hF7HHG37
ZaLCNZIWrUf2dwtepuXVf40H+SAsRMDMy4/BRlovlqSIClGudAuCVVOxelNoQ3Sc
nKiyPjPmlbkBJVL1JclXq17g8p5SlBmGeePCM7/75J8uTuarboxDAgMBAAE=
-----END RSA PUBLIC KEY-----

https://try8.cn/tool/cipher/rsa

[0o0O0o0O0o]

@raw0xff #24 不是大佬，不过很喜欢讨论这些

https://gchq.github.io/CyberChef/#recipe=From_Base64('A-Za-z0-9%2B/%3D',true,false)RSA_Decrypt('-----BEGIN%20RSA%20PRIVATE%20KEY-----','','RSA-OAEP','SHA-1')&input=b28zSlNNRnl4QVVaaEJlVXZIOHU0MHVXQWxGN2gxcmJxaTF5ZElCNUxZdWZDUndXdzNybEJjWk5aR0FzSUp6Z3JybFE4aTBTdlNOMXVCd3BKUjIyOGR0TWlxQ0ZGVFdxS2hxNjR3TWNUN29SWWgva2FWMW9kZ0tkQUw3dkh6eituZDJwd3MvcGUrdlkybkpPc0t5ZEJUcVBmaCtNQmtwSEhaajFON2dycHhVPQ&ieol=FF&oeol=NEL