fix(CustomResizeObserver): remove set src to iframe

[EldarMuhamethanov]

• Release notes

Описание

Сейчас CustomResizeObserver в своей реализации использует создание iframe-ов для отслеживания их размеров. При создании он устанавливает src="javascript:void(0)", что может вызывать проблемы с Content Security Policy (CSP) при следующих заголовках:

• script-src - ограничивает источники выполняемых скриптов
• frame-src - ограничивает источники для iframe-ов

Для решения этой проблемы предлагается не устанавливать атрибут src явно, так как браузер по умолчанию использует about:blank.

Плюсы такого подхода:

1. Совместимость с CSP - отсутствие явного javascript: URL не нарушает политику безопасности
2. Меньше кода - нет необходимости явно указывать src
3. Стандартное поведение - использование браузерного дефолта about:blank
4. Более безопасное решение - about:blank является доверенным источником

Изменения

• Убрал установку атрибута src для создаваемого iframe'а, позволяя браузеру использовать стандартное значение about:blank

Release notes

Исправления

• Исправлены ошибки в Content Security Policy (CSP) связанные с тем, что в CustomResizeObserver создавался iframe с src="javascript:void(0)", теперь iframe создается без явного указания src, что позволяет браузеру самостоятельно заполнить это поле. Значение по умолчанию для браузеров: src="about:blank"

[github-actions]

size-limit report 📦

Path	Size
JS	385.5 KB (-0.01% 🔽)
JS (gzip)	123.19 KB (-0.02% 🔽)
JS (brotli)	102.12 KB (+0.08% 🔺)
JS import Div (tree shaking)	1.47 KB (0%)
CSS	342.46 KB (0%)
CSS (gzip)	49.36 KB (0%)
CSS (brotli)	40 KB (0%)

[codesandbox-ci]

This pull request is automatically built and testable in CodeSandbox.

To see build info of the built libraries, click here or the icon next to each commit SHA.

[github-actions]

e2e tests

⚠️ Some screenshots were failed. See Playwright Report.

Playwright Report

[github-actions]

👀 Docs deployed

• ✅ Styleguide
• ✅ Storybook

Commit c7a5b5d

[codecov]

Codecov Report

All modified and coverable lines are covered by tests ✅

Project coverage is 95.30%. Comparing base (75f5a11) to head (c7a5b5d).
Report is 1 commits behind head on master.

Additional details and impacted files

@@            Coverage Diff             @@
##           master    #7933      +/-   ##
==========================================
- Coverage   95.30%   95.30%   -0.01%     
==========================================
  Files         378      378              
  Lines       11196    11195       -1     
  Branches     3735     3735              
==========================================
- Hits        10670    10669       -1     
  Misses        526      526              

Flag	Coverage Δ
unittests	95.30% <ø> (-0.01%)	⬇️

Flags with carried forward coverage won't be shown. Click here to find out more.

☔ View full report in Codecov by Sentry.
📢 Have feedback on the report? Share it here.

[andrey-medvedev-vk]

Отличное описание 👏

Я бы подправил release notes кроме окончаний ещё и то, что значение мы сами не выставляем, отдавая это браузеру:

- - Исправлены ошибки в консоли связанная с тем, что в CustomResizeObserver создавался iframe с `src="javascript:void(0)"` теперь создается с `src="about:blank"`
+ - Исправлены ошибки в `Content Security Policy (CSP)` связанные с тем, что в `CustomResizeObserver` создавался `iframe` с `src="javascript:void(0)"`, теперь `iframe` создается без явного указания `src`, что позволяет браузеру самостоятельно заполнить это поле. Значение по умолчанию для браузеров: `src="about:blank"`

[vkcom-publisher]

❌ Patch

Не удалось автоматически применить исправление на ветке 7.0-stable.

Дальнейшие действия выполняют контрибьютеры из группы @VKCOM/vkui-core

Чтобы изменение попало в ветку 7.0-stable, выполните следующие действия:

1. Создайте новую ветку от 7.0-stable и примените изменения используя cherry-pick

git stash # опционально
git fetch origin 7.0-stable
git checkout -b patch/pr7933 origin/7.0-stable

git cherry-pick --no-commit a71c41aa0a935704f79dbec20bd1a6107ce0694f
git checkout HEAD **/__image_snapshots__/*.png
git diff --quiet HEAD || git commit --no-verify --no-edit

2. Исправьте конфликты, следуя инструкциям из терминала
3. Отправьте ветку на GitHub и создайте новый PR с веткой 7.0-stable (установка лейбла не требуется!)

git push --set-upstream origin patch/pr7933
gh pr create --base 7.0-stable --title "patch: pr7933" --body "- patch #7933"

[vkcom-publisher]

✅ v6.7.4 🎉

[vkcom-publisher]

✅ v7.0.0-beta.2 🎉

[vkcom-publisher]

✅ v7.0.0 🎉