网站CSP安全策略

来源：恒创科技编辑：恒创科技编辑部

2024-02-12 19:55:59

csp主要是方式xss注入(网页注入js，跨域攻击)

1.使用方法：head里面添加meta属性值为http-equiv="Content-Security-Policy" 例如：全部仅加载本地资源， <meta http-equiv="Content-Security-Policy" content="default-src 'self'"/> 2.资源加载限制 script-src：外部脚本 style-src：样式表 img-src：图像 media-src：媒体文件(音频和视频) font-src：字体文件 object-src：插件(比如 Flash) child-src：框架 frame-ancestors：嵌入的外部资源(比如<frame>、<iframe>、<embed>和<applet>) connect-src：HTTP 连接(通过 XHR、WebSockets、EventSource等) worker-src：worker脚本 manifest-src：manifest 文件 3.关键词： 'self' -当前域名 'none' - 禁止加载任何外部例如：仅允许加载当前域名的图片,本地css及bootsrtaps的css <meta http-equiv="Content-Security-Policy" content="img-src 'self',style-src 'self' /news/upload/ueditor/image/202209/dvojlua3nyc "/> 4.report-uri：反馈注入报告，当发现注入行为，会给指定连接发送一个报告文件

例如：

<meta http-equiv="Content-Security-Policy" content="default-src 'self',report-uri '/my_amazing_csp_report_parser'"/> 
 <meta http-equiv="Content-Security-Policy" content="script-src 'self' https://cdn.bootcss.com",report-uri '/my_amazing_csp_report_parser'"/>
 <meta http-equiv="Content-Security-Policy" content="default-src 'self',report-uri '/my_amazing_csp_report_parser'"/>
 <meta http-equiv="Content-Security-Policy" content="img-src 'self',style-src 'self' https://cdn.jsdelivr.net/ "/> <link rel="stylesheet" type="text/css" href="https://cdn.jsdelivr.net/npm/bootstrap@3.3.7/dist/css/bootstrap.min.css"/>