首页 > 信息 >Web安全之Content Security Policy(CSP 内容安全策略)详解

Web安全之Content Security Policy(CSP 内容安全策略)详解

2024-01-31 14:57:32
4413

什么是Content Security Policy（CSP）

Content Security Policy是一种网页安全策略，现代浏览器使用它来增强网页的安全性。可以通过Content Security Policy来限制哪些资源

(如JavaScript、CSS、图像等)可以被加载，从哪些url加载。

CSP本质上是白名单机制，开发者明确告诉浏览器哪些外部资源可以加载和执行，可以从哪些ur加载资源。

CSP最初被设计用来减少跨站点脚本攻击(XSS),该规范的后续版本还可以防止其他形式的攻击，如点击劫持。

启用CSP的两种方法

启用CSP的方法有两种，第一种是通过设置一个HTTP响应头(HTTP response header)“Content-Security-Policy",第二种是通过

HTML标签<meta>设置，例如：

除了Content-Security-Policy外，还有一个Content-Security-Policy-Report-Only字段，表示不执行限制选项，只是记录违反限制的行为，

必须与report-uri值选项配合使用，例如：

Content-Security-Policy-Report-Only: default-src 'self'; report-uri /some-report-uri;

CSP指令介绍

Content-Security-Policy值由一个或多个指令组成，多个指令用分号分隔。

csp资源加载项限制指令如下：

1 script-src：外部脚本

2 style-src:样式文件

3 img-src：图片文件

4 media-src:媒体文件（音频和视频）

5 font-src：字体文件

6 object-src:插件（比如 Flash）

7 child-src:框架

8 frame-ancestors:嵌入的外部资源（比如<frame>、 <iframe>、<embed>和<applet>)

9 connect-src: HTTP 连接（通过 XHR、 WebSockets、 EventSource等）

10 worker-src: worker脚本

11 manifest-src: manifest文件

12 default-src:用来设置上面各个选项的默认值。

上述指令对应的值如下：

CSPURL限制指令如下：

1 frame-ancestors：限制嵌入框架的网页
2 base-uri:限制<base#href>
3 form-action:限<form#action>

未经允许不得转载，或转载时需注明出处：茄番番 » Web安全之Content Security Policy(CSP 内容安全策略)详解

标签：

Content Security Policy详解 CSP内容安全策略 CSP防御XSS Web前端安全策略网页资源加载控制浏览器CSP配置教程 Web安全规范CSP

猜你还喜欢

新闻分类

热门文章

热门标签

GEO优化,生成引擎优化,AI搜索优化,AI搜索营销,SEO与GEO区别,ChatGPT优化,AI驱动搜索,数字营销新趋势 google企业邮箱 google企业邮箱注册 google企业邮箱申请 google企业邮箱付款外贸独立站费用外贸独立站价格外贸网站搭建报价独立站预算外贸建站成本独立站多少钱建站价格区间独立站报价单外贸网站价格表独立站收费标准 deepseek搜索,豆包AI搜索,GEO,GEO搜索,Ai搜索,文心一言AI搜索,纳米AI搜索,元宝AI搜索,通义AI搜索产品详情页优化外贸独立站 SEO转化 AI搜索趋势产品视频介绍 GEO搜索策略客户评价内容结构商品页面布局网站SEO优化 SEO团队运营 SEO效果提升企业搜索优化网站推广策略 SEO优化

关注我们

咨询
公众号

首页

服务

网站建设

外贸独立站

小程序

AI

物联网开发

数字营销

基础服务

系统开发

解决方案

网站解决方案

小程序解决方案

案例

洞察

关于

联系

Web安全之Content Security Policy(CSP 内容安全策略)详解

什么是Content Security Policy（CSP）

启用CSP的两种方法

CSP指令介绍