Nginx配置Http响应头安全策略_nginx content-security-policy

server_name example.com;

location / {
add_header Content-Security-Policy “form-src ‘self’ https://example.com/forms;”;

其他配置…

}
}

3.6frame-ancestors指令的参数、说明和示例

参数	说明	示例
self	允许嵌套的frame或iframe加载同源的资源	frame-ancestors 'self';
*	允许嵌套的frame或iframe加载任意来源的资源	frame-ancestors '*';
none	不允许嵌套的frame或iframe加载任何资源，是最严格的设置	frame-ancestors 'none';
report-sample	要求浏览器报告所有嵌套的frame或iframe的来源样本，用于调试和分析	frame-ancestors 'report-sample';

以下是一个示例（禁止任何框架嵌套）：

server {
listen 80;
server_name example.com;

location / {
add_header Content-Security-Policy “frame-ancestors ‘none’;”;

其他配置…

}
}

3.7frame-src指令的参数、说明和示例

参数	说明	示例
self	允许嵌套的frame或iframe加载同源的资源	frame-src 'self';
*	允许嵌套的frame或iframe加载任意来源的资源	frame-src '*';
none	不允许嵌套的frame或iframe加载任何资源，是最严格的设置	frame-src 'none';
report-sample	要求浏览器报告所有嵌套的frame或iframe的来源样本，用于调试和分析	frame-src 'report-sample';
https:	只允许嵌套的frame或iframe加载HTTPS资源	frame-src 'https:';
data:	允许嵌套的frame或iframe加载data:协议的资源，如文件上传等	frame-src 'data:';

以下是一个示例（允许从同一域名加载框架资源）：

server {
listen 80;
server_name example.com;

location / {
add_header Content-Security-Policy “frame-src ‘self’ https://example.com/frames;”;

其他配置…

}
}

3.8image-src指令的参数、说明和示例

参数	说明	示例
self	允许加载同源的图片资源	image-src 'self';
*	允许加载任意来源的图片资源	image-src '*';
none	不允许加载任何图片资源，是最严格的设置	image-src 'none';
report-sample	要求浏览器报告所有图片请求的样本，用于调试和分析	image-src 'report-sample';
data:	允许加载data:协议的图片资源，如文件上传等	image-src 'data:';
https:	只允许加载HTTPS协议的图片资源	image-src 'https:';

以下是一个示例（允许从同一域名加载框架资源）：

server {
listen 80;
server_name example.com;

location / {
add_header Content-Security-Policy “img-src ‘self’ https://example.com/images”;

其他配置…

}
}

3.9media-src指令的参数、说明和示例

参数	说明	示例
self	允许加载同源的媒体资源	media-src 'self';
*	允许加载任意来源的媒体资源	media-src '*';
none	不允许加载任何媒体资源，是最严格的设置	media-src 'none';
report-sample	要求浏览器报告所有媒体请求的样本，用于调试和分析	media-src 'report-sample';
data:	允许加载data:协议的媒体资源，如文件上传等	media-src 'data:';
https:	只允许加载HTTPS协议的媒体资源	media-src 'https:';

以下是一个示例（允许从同一域名加载媒体资源）：

server {
listen 80;
server_name example.com;

location / {
add_header Content-Security-Policy “media-src ‘self’ https://example.com/media;”;

其他配置…

}
}

3.10object-src指令的参数、说明和示例