web安全测试之appscan – “Content-Security-Policy”头缺失或不安全

web安全测试之appscan – “Content-Security-Policy”头缺失或不安全 - 猿码设计师https://www.yuanmadesign.com/ymdesign/appscan-web-test

Appscan是一款安全漏洞扫描软件，由IBM公司研发，后又被卖给了印度公司HCL。

在web安全测试中，今天我们说下扫描结果中包含Content-Security-Policy请求头header的缺失或不安全的时候，我们该如何应对。

首先，它的严重性低。AppScan 检测到 Content-Security-Policy（CSP） 响应头缺失或具有不安全策略，这可能会更大程度地暴露于各种跨站点注入攻击之下

其次，原因是Web 应用程序编程或配置不安全。

解决方案是

• 将服务器配置使用安全策略“Content-Security-Policy”头，在response中返回该头。
• 如果是Gateway，在Gateway中配置这个请求头，发送给前端页面。

"Content-Security-Policy": "default-src 'self'; script-src 'self'; frame-ancestors 'self'"

如果需要将你的应用嵌入到别人的应用中，则必须更改frame-ancestors的值以应对。