feat(csp): add worker-src directive for ALTCHA proof-of-work in admin CSP

2026-07-20 14:34:46 +03:30
parent a8d33ceeaf
commit 087683e877
3 changed files with 5 additions and 0 deletions
@@ -84,3 +84,4 @@ endpointهایی که وقتی `ALTCHA_ENABLED=true` است فیلد `altcha` ر
 - انقضا (`ALTCHA_EXPIRE_SECONDS`) داخل salt امضاشده است.
 - استفاده‌ی یک‌باره: signature هر challenge در pool اختصاصی Redis (`altcha.pool`) تا زمان انقضا نگه‌داری می‌شود → ضدِ replay.
 - کپچا مکملِ rate-limit موجود است، نه جایگزین آن.
+- **CSP:** widget حل proof-of-work را داخل Web Workerهای `blob:` انجام می‌دهد؛ CSP پنل ادمین (`AdminCspSubscriber`) باید `worker-src 'self' blob:` داشته باشد، وگرنه widget با `state=error` می‌ماند و کپچا هرگز حل نمی‌شود.