microsoft / microsoft/BotFramework-DirectLineJS
[Content Security Policy] Restrict `blob:` in `connect-src`
Nessuno ha ancora preso questa issue.
- Lingua principale
- TypeScript
- Stelle
- 199
- Fork
- 133
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Descrizione
Feature Request
Today, we require this directive: connect-src blob:.
This is because botframework-directlinejs use blob URL to retrieve ArrayBuffer for uploading attachments. The code is at https://github.com/microsoft/BotFramework-DirectLineJS/blob/master/src/directLine.ts#L807.
To-do
To remove this directive, we need to modify botframework-directlinejs to use ArrayBuffer or Blob to upload attachments.
Also today, since we are using URL.createObjectURL, we don't have a reliable way to revoke the URL. Moving to ArrayBuffer or Blob will help.
[Enhancement]
Guida per i contributori
Apri la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Direzione di ricerca
Inizia in src/directLine.ts, intorno alla riga 807, e verifica come botframework-directlinejs recupera i dati degli allegati e crea URL blob. Il lavoro è completo quando i caricamenti degli allegati non richiedono più blob: in connect-src e gli URL degli oggetti possono essere revocati in modo affidabile; l'issue non indica alcun file di test o punto di ingresso del test.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Valutazione
- Stack tecnologico
- typescript
- Ambito
- api
- Tipo di issue
- Funzionalità
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Stato di attività
- Ferma
- Chiarezza
- Abbastanza chiara
- Idoneità per principianti
- 35/100