HTTP 响应头Content-Security-Policy

已于 2022-09-28 09:36:41 修改
阅读量9.3k 收藏 3
点赞数 1
分类专栏： 应用安全 文章标签： 安全 企业安全
于 2020-08-24 18:33:55 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/realmardrid/article/details/108204849
版权

HTTP 响应头Content-Security-Policy允许站点管理者控制用户代理能够为指定的页面加载哪些资源。

除了少数例外情况，设置的政策主要涉及指定服务器的源和脚本结束点。

这将防止跨站脚本攻击（Cross-Site Script)。

更多信息，查看https://blog.csdn.net/realmardrid/article/details/108205602

禁止修改的消息首部指的是不能在代码中通过编程的方式进行修改的http协议消息首部。

本文仅讨论相关的HTTP请求首部（关于禁止修改的响应首部，请参考Set-Cookie或 Set-Cookie2）。

用户代理对这些消息首部保留全部控制权，应用程序无法设置它们。

Names starting with `Sec-` are reserved for creating new headers safe from apis using Fetch that grant developers control over headers, such as XMLHttpRequest

禁止修改的消息首部包括以 Proxy- 和 Sec- 开头的消息首部，以及下面列出的消息首部：

  • Accept-Charset
  • Accept-Encoding
  • Access-Control-Request-Headers
  • Access-Control-Request-Method
  • Connection
  • Content-Length
  • Cookie
  • Cookie2
  • Date
  • DNT
  • Expect
  • Host
  • Keep-Alive
  • Origin
  • Proxy-
  • Sec-
  • Referer
  • TE
  • Trailer
  • Transfer-Encoding
  • Upgrade
  • Via

语法

Content-Security-Policy: <policy-directive>; <policy-directive>

指令

获取指令：Fetch directives

通过获取指令来控制某些可能被加载的确切的资源类型的位置。

child-src

child-src：为 web workers和其他内嵌浏览器内容（例如用<frame>和<iframe>加载到页面的内容）定义合法的源地址。

如果开发者希望管控内嵌浏览器内容和 web worker 应分别使用frame-src和worker-src 指令，来相对的取代 child-src。

connect-src

connect-src：限制能通过脚本接口加载的URL。

default-src

default-src：为其他取指令提供备用服务fetch directives。

font-src

font-src：设置允许通过@font-face加载的字体源地址。

frame-src

frame-src： 设置允许通过类似<frame>和<iframe>标签加载的内嵌内容的源地址。

img-src

img-src: 限制图片和图标的源地址

manifest-src

manifest-src ： 限制应用声明文件的源地址。

media-src

media-src：限制通过<audio>、<video>或<track>标签加载的媒体文件的源地址。

object-src

object-src：限制<object>、<embed>、<applet>标签的源地址。

被object-src控制的元素可能碰巧被当作遗留HTML元素，导致不支持新标准中的功能（例如<iframe>中的安全属性sandbox和allow）。因此建议限制该指令的使用（比如，如果可行，将object-src显式设置为'none'）。

prefetch-src

指定预加载或预渲染的允许源地址。

script-src

限制JavaScript的源地址。

style-src

限制层叠样式表文件源。

webrtc-src 

指定WebRTC连接的合法源地址。

worker-src

限制Worker、SharedWorker或者ServiceWorker脚本源。

文档指令 | Document directives

文档指令管理文档属性或者worker环境应用的策略。

base-uri

限制在DOM中<base>元素可以使用的URL。

plugin-types

通过限制可以加载的资源类型来限制哪些插件可以被嵌入到文档中。

sandbox

类似<iframe> sandbox属性，为请求的资源启用沙盒。

disown-opener

确保资源在导航的时候能够脱离父页面。（windown.opener 对象）Ensures a resource will disown its opener when navigated to.

导航指令 | Navigation directives

导航指令管理用户能打开的链接或者表单可提交的链接

form-action

限制能被用来作为给定上下文的表单提交的目标 URL（说白了，就是限制 form 的 action 属性的链接地址）

frame-ancestors

指定可能嵌入页面的有效父项<frame>, <iframe>, <object>, <embed>, or <applet>.

navigation-to

限制文档可以通过以下任何方式访问URL (a, form, window.location, window.open, etc.)

报告指令

报告指令控制 CSP 违规的报告过程. 更多请看 Content-Security-Policy-Report-Only报头.

report-uri

当出现可能违反CSP的操作时，让客户端提交报告。这些违规报告会以JSON文件的格式通过POST请求发送到指定的URI

report-to

Fires a SecurityPolicyViolationEvent.

其他指令 | Other directives

block-all-mixed-content

当使用HTTPS加载页面时阻止使用HTTP加载任何资源。

referrer

用来指定会离开当前页面的跳转链接的 referer header 信息。应该使用 Referrer-Policy替代。

require-sri-for

需要使用 SRI 作用于页面上的脚本或样式。

upgrade-insecure-requests

让浏览器把一个网站所有的不安全 URL（通过 HTTP 访问）当做已经被安全的 URL 链接（通过 HTTPS 访问）替代。这个指令是为了哪些有量大不安全的传统 URL 需要被重写时候准备的。

CSP 和 Workers

Workers 一般来说不被创建他的文档（或者父级Worker）的CSP策略管理。如果要为Worker指定CSP策略，可以为Worker脚本的请求的响应的头部设置CSP策略。 

例外的情况是，如果Worker脚本的来源是一个全局唯一ID（比如，它的URL是一个结构化的数据或者BLOB）。在这种情况下，这个Worker会继承它所属的文档或者创建它的Worker的CSP策略。

多内容安全策略

CSP 允许在一个资源中指定多个策略, 包括通过 Content-Security-Policy 头, 以及Content-Security-Policy-Report-Only 头，和 <meta> 组件。

你可以像以下实例一样多次调用 Content-Security-Policy 头。 特别注意这里的connect-src 指令。 尽管第二个策略允许连接, 第一个策略仍然包括了 connect-src 'none'。添加了附加的策略后，只会让资源保护的能力更强，也就是说不会有接口可以被允许访问，等同于最严格的策略，connect-src 'none' 强制开启。

Content-Security-Policy: default-src 'self' http://example.com;
                         connect-src 'none';
Content-Security-Policy: connect-src http://example.com/;
                         script-src http://example.com/

示例

示例: 禁用不安全的内联/动态执行, 只允许通过 https加载这些资源 (images, fonts, scripts, etc.)

// header
Content-Security-Policy: default-src https:

// meta tag
<meta http-equiv="Content-Security-Policy" content="default-src https:">

示例: 已经存在的一个网站，用了太多内联代码修复问题，而且想确保资源只从 https 加载，并且禁止插件：

Content-Security-Policy: default-src https: 'unsafe-eval' 'unsafe-inline'; object-src 'none'

实例：还没有开始实施上面的策略；相反，只是开始上报可能会发生违反安全策略的行为：

Content-Security-Policy-Report-Only: default-src https:; report-uri /csp-violation-report-endpoint/

查看 Mozilla Web Security Guidelines 上的更多例子.

规范

规范状态注释
Content Security Policy Level 3Working DraftAdds disown-opener, manifest-src, navigation-to, report-uri, strict-dynamic, worker-src. Undeprecates frame-src. Deprecates report-uri in favor if report-to.
Mixed ContentCandidate RecommendationAdds block-all-mixed-content.
Subresource IntegrityRecommendationAdds require-sri-for.
Upgrade Insecure RequestsCandidate RecommendationAdds upgrade-insecure-requests.
Content Security Policy Level 2RecommendationAdds base-uri, child-src, form-action, frame-ancestors, plugin-types, referrer, reflected-xss, and report-uri. Deprecates frame-src.
Content Security Policy 1.0ObsoleteDefines connect-src, default-src, font-src, frame-src, img-src, media-src, object-src, report-uri, sandbox, script-src, and style-src.

浏览器兼容性

No compatibility data found. Please contribute data for "http/headers/content-security-policy" (depth: Content-Security-Policy) to the MDN compatibility data repository.

参见

securitysun
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Nginx配置Http响应头安全策略_nginx content-security-policy
2401_84181383的博客
04-10 2942
是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**
koa-csp：用于设置响应头：Content-Security-Policy
02-03
这是Koa2中间件，用于设置响应标头Content-Security-Policy 安装 npm install koa-csp yarn add koa-csp 用法 import Koa from 'koa' ; import csp from 'koa-csp' ; const app = new Koa ( ) ; app . use ( csp ( ...
安全头响应头(一)Content-Security-Policy
wzj_110的博客
04-17 3864
default-src指令。
漏洞修复：检测到目标Content-Security-Policy响应头缺失
最新发布
yjfkeifk的博客
07-01 760
对于 IIS，请参阅：https://technet.microsoft.com/pl-pl/library/cc753133%28v=ws.10%29.aspx。对于 nginx，请参阅：http://nginx.org/en/docs/http/ngx_http_headers_module.html。对于 Apache，请参阅：http://httpd.apache.org/docs/2.2/mod/mod_headers.html。名称：Content-Security-Policy。
Content-Security-Policy —— HTML HTTP的内容安全策略
林中路
07-23 3104
是什么 HTTP 协议的 Content-Security-Policy 响应头允许网站管理员控制用户代理可以为给定页面加载的资源 有什么用 可以防止[[Web安全详解#跨站点脚本攻击]] 语法 Content-Security-Policy: <policy-directive>; <policy-directive> 指令<policy-directive>说明 获取资源型指令 可选来源 <host-source> : 因特网主机的名称或IP地址，以及
Content-Security-Policy
GalaxySpaceX的博客
09-12 465
Content-Security-Policy
http content_security_policy
focus on security
08-24 457
扩展默认情况下对其应用了内容安全策略。默认策略限制了它们可以从中加载<script>和<object>资源的来源，并且禁止使用诸如之类的潜在不安全做法eval()。请参阅默认内容安全性策略以了解有关此含义的更多信息。 您可以使用"content_security_policy"清单密钥来放松或收紧默认策略。该密钥的指定方式与Content-Security-Policy HTTP标头相同。有关CSP语法的一般说明，请参见使用内容安全策略。 例如，您可以使用此键执行以下操作： ..
ContentSecurityPolicyFilter:一个可配置的Java Servlet过滤器，将“ Content-Security-Policy”标头添加到ServletResponse
05-02
将“ Content-Security-Policy”或“ Content-Security-Policy-Report-Only”标头添加到响应中。 另请参阅： 通常，您只需要有限的数目，也不需要任何init参数。 如果未定义init参数，则Header将如下所示： ...
content-security-policy.com:content-security-policy.com网站的源代码
04-27
CSP通过在HTTP响应头中设置一个特殊的字段来实施，这样浏览器会根据这些策略来过滤可能有害的请求。 `content-security-policy.com`是一个专门介绍CSP的网站，其源代码提供了关于如何实施和配置CSP的实例和教学资源...
csp：PSR-15中间件，将Content-Security-Policy标头添加到响应中
02-17
中间件/ csp 使用库在响应中添加标头的中间件。... composer require middlewares/csp例子use ParagonIE \ ...遗产为旧的浏览器生成旧的CSP标头（ X-Content-Security-Policy和X-Webkit-CSP ）。 默认情况下为true但您可
ember-cli-content-security-policy
04-28
该策略可以通过Content-Security-Policy HTTP响应标头或作为index.html文件中的元标记来传递。 如果配置为使用HTTP响应标头提供CSP，则标头将自动设置（如果与开发中的Ember CLI的快速服务器或生产中的一起使用）...
http内容安全策略Content Security Policy(CSP)
focus on security
08-24 5773
内容安全策略CSP是安全性的附加层，有助于检测和缓解某些类型的攻击，包括跨站点脚本(https://owasp.org/www-community/attacks/xss/)和数据注入攻击。这些攻击可用于从数据盗窃，站点损坏到恶意软件分发的所有方面。 CSP被设计为完全向后兼容（除CSP版本2，其中有在向后兼容性一些明确提到的不一致性）。不支持它的浏览器仍然可以与实现它的服务器一起使用，反之亦然：不支持CSP的浏览器只是忽略它，照常运行，默认为Web内容的标准同源策略。如果站点不提供CSP标头，则浏览器同
HTTP响应头未设置‘Content-Security-Policy‘
weixin_46356409的博客
01-18 2668
当HTTP响应头未设置’Content-Security-Policy’时，表示服务器没有为网页设置内容安全策略（Content Security Policy，CSP）。通过设置内容安全策略，可以限制浏览器加载哪些类型的资源，从而提高网站的安全性。网站容易受到XSS攻击：如果没有设置内容安全策略，攻击者可以在网站上注入恶意脚本，从而窃取用户信息、篡改网页内容或进行其他恶意操作。网站性能可能受到影响：如果没有设置内容安全策略，浏览器需要下载和执行所有类型的资源，这可能会导致网站性能下降。
Web 安全之内容安全策略详解（Content-Security-Policy,CSP）
热门推荐
乌龙茶不甜的博客
04-27 1万+
1.CSP 简介 内容安全策略（Content Security Policy，简称CSP）是一种以可信白名单作机制，来限制网站是否可以包含某些来源内容，缓解广泛的内容注入漏洞，比如 XSS。 简单来说，就是我们能够规定，我们的网站只接受我们指定的请求资源。默认配置下不允许执行内联代码（2.CSP 使用方式 CSP可以由两种方式指定： HTTP Header 和 HTML。 通过定义在HTTP header 中使用： "Content-Security-Policy:" 策略集 通过定义在 HTML me
关于HTTP中的CSP(Content-Security-Policy)内容安全策略
Wang的专栏
03-08 4820
关于HTTP中的CSP 在HTTP协议中为了使我们的网站足够的安全，经常要用到CSP(Content-Security-Policy)内容安全策略 CSP的作用 限制网站中资源的获取，以及请求发送到哪里 报告资源获取越权 CSP的限制方式 default-src限制全局和链接请求有关的东西 指定资源类型 connect-src manifest-src img-src font-src media-src style-src frame-src script-src 网页上和链接有关的…
HTTP安全响应头设置
刘瓜皮Alison的博客
03-11 1037
HTTP常用安全响应头设置及可防范的攻击类型
安全头响应头(一)Content-Security-Policy_add_header content-security-policy
2301_79058515的博客
04-16 337
default-src ‘self’ 用来设置上面’各个选项’的’默认’值 --> “当前域名”,需要’加引号’如果’存在’,则会’覆盖’1） 加载视频’失败’ --> 没有指定"connect-src ‘self’",继承’默认值self’备注： 如果同时设置某个单项限制’比如font-src’和’default-src’,前者会’覆盖’后者。每个’CSP限制选项’可以设置’以下几种值’,这些值就构成了’白名单’。备注： ‘推荐’完整的白名单,尽量不只使用’协议’或’通配符’
Content-Security-Policy 响应头缺失
09-07
Content-Security-Policy是一个HTTP响应头，用于指定网页中允许加载的资源来源。如果该头缺失，意味着网页存在安全风险，因为没有限制允许加载的资源来源。 为了确保网页的安全性，可以通过在服务器配置中添加Content-Security-Policy头来限制资源加载的来源。例如，可以使用以下设置值来指定只允许同源下的资源： add_header Content-Security-Policy "default-src 'self'"; 另外，可以使用以下设置值来升级不安全的请求为HTTPS，并不限制内容加载来源： add_header Content-Security-Policy "upgrade-insecure-requests; content *"; 通过使用Content-Security-Policy头，可以降低异源文件攻击的风险，例如JavaScript、CSS、图像等。这样可以提高网页的安全性和保护用户的隐私。<span class="em">1</span><span class="em">2</span><span class="em">3</span><span class="em">4</span>
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值