Content Security Policy (CSP) sha256 mistmatch in Chrome 74.x, funktioniert aber einwandfrei in Chrome 75.x

Question

Ich versuche, auf meiner Site eine sehr strenge Content Security Policy (CSP) wie folgt festzulegen:

base-uri 'self';script-src 'self' 'unsafe-inline' 'unsafe-eval' 'report-sample' https: http: 'sha256-lfXlPY3+MCPOPb4mrw1Y961+745U3WlDQVcOXdchSQc=' 'sha256-rRMdkshZyJlCmDX27XnL7g3zXaxv7ei6Sg+yt4R3svU=' 'nonce-[CSP-NONCE]' 'Strict-Dynamic' 'unsafe-hashes';frame-src 'self';object-src 'none';report-uri /report-csp;

Ich stelle jedoch fest, dass in Chrome/74.0.3729.169 das sha256-lfXlPY3+MCPOPb4mrw1Y961+745U3WlDQVcOXdchSQc=nicht mit dem Skript „javascript:;“ übereinstimmt.

Ich weiß, dass es in Chrome/75.x funktioniert

Der Bericht von Chrome/74.0.3729.169 sieht wie folgt aus:

{"csp-report":{"document-uri":"https://xxx.xxx.com/","referrer":"https://xxx.xxx.com/","violated-directive":"script-src-elem","effective-directive":"script-src-elem","original-policy":"base-uri 'self';script-src 'self' 'unsafe-inline' 'unsafe-eval' 'report-sample' https: http: 'sha256-lfXlPY3+MCPOPb4mrw1Y961+745U3WlDQVcOXdchSQc=' 'sha256-rRMdkshZyJlCmDX27XnL7g3zXaxv7ei6Sg+yt4R3svU=' 'nonce-ICXBmlKCIhrG35lflJLb' 'Strict-Dynamic' 'unsafe-hashes';frame-src 'self';object-src 'none';report-uri /report-csp;","disposition":"report","blocked-uri":"inline","line-number":1,"source-file":"https://xxx.xxx.com/","status-code":0,"script-sample":"javascript:;"}}

Ist das ein Fehler in Chrom 74.x?

Ein anderer Hash in der Richtlinie funktioniert übrigens sowohl in Chrome 74.x als auch in Chrome 75.x.('sha256-rRMdkshZyJlCmDX27XnL7g3zXaxv7ei6Sg+yt4R3svU=' means 'javascript:void(0)')

Der Benutzeragent für den Browser ist:

user-agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36 –