【网络安全】Content Security Policy (CSP) 介绍

最新推荐文章于 2023-09-05 17:25:30 发布
最新推荐文章于 2023-09-05 17:25:30 发布
阅读量2.5k 收藏 10
点赞数
文章标签： web安全 安全 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/th3383193/article/details/128277654
版权
内容安全策略（CSP）是一种增强网页安全的机制，用于防范跨站脚本（XSS）等攻击。CSP通过定义规则限制浏览器加载资源，防止恶意代码执行。本文介绍了CSP的工作原理、设置方式、常见指令及其值，以及推荐的实践策略，帮助理解如何使用CSP来提升网站安全性。
摘要由CSDN通过智能技术生成

内容安全策略 (CSP) 是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件，这些攻击都是主要的手段。

起因

当我不经意间在 Twitter 页面 view source 后，发现了惊喜。

<!DOCTYPE html>
<html lang="en">
<head><meta charset="utf-8" /><title>Twitter</title><style> body {background-color: #ffffff;font-family: sans-serif;}a {color: #1da1f2;}svg {color: #1da1f2;display: block;fill: currentcolor;height: 21px;margin: 13px auto;width: 24px;} </style>
</head>
<body><noscript><center>If you’re not redirected soon, please <a href="/">use this link</a>.</center></noscript><script nonce="SG0bV9rOanQfzG0ccU8WQw=="> document.cookie = "app_shell_visited=1;path=/;max-age=5";location.replace(location.href.split("#")[0]); </script>
</body>
</html>

相比平时看到的其他站点的源码，可以说是很清爽了。没有乱七八糟的标签，功能却一样不少。特别有迷惑性，以为这便是页面所有的源码，但查看 DevTools 的 Source 面板后很容易知道这并不是真实的 HTML 代码。但为何页面源码给出的是如此清爽的版本，这里先不研究。

把目光移向 script 标签时，发现一个不认识的 nonce 属性。它以及它后面的神秘字符串成功引起了我的好奇。再去看 Google 首页的源码，也有好些 nonce 的运用。是时候去了解一下这里的 nonce 是什么了。

! <script nonce="SG0bV9rOanQfzG0ccU8WQw==">document.cookie = "app_shell_visited=1;path=/;max-age=5";location.replace(location.href.split("#")[0]);
</script>

Content Security Policy (CSP)

要了解 nonce， 先了解 Content-Security-Policy(CSP)。

我们都知道浏览器有同源策略（same-origin policy）的安全限制，即每个站点只允许加载来自和自身同域（origin）的数据，https://a.com 是无法从 https://b.com 加载到资源的。每个站点被严格限制在了自已的孤岛上，自己就是一个沙盒，这样很安全，整个网络不会杂乱无章。主要地，它能解决大部分安全问题。假若没有同源策略，恶意代码能够轻松在浏览器端执行然后获取各种隐私信息：银行帐号，社交数据等。

那网站间如何进行数据共享，当然是有办法的，了解下 CORS。

现实中，问题是同源策略也并不是万无一失，跨域攻击 Cross-site scripting (XSS) 便包含五花八门绕开限制的手段，形式上通过向页面注入恶意代码完成信息的窃取或攻击。比如 UGC 类型的站点，因为内容依赖用户创建，这就开了很大一个口子，允许用户输入的内容运行在页面上。当然，因为我们都知道会有注入攻击，所以对用户输入的内容进行防 XSS 过滤也成了标配。

Content-Security-Policy 从另一方面给浏览器加了层防护，能极大地减少这种攻击的发生。

原理

CSP 通过告诉浏览器一系列规则，严格规定页面中哪些资源允许有哪些来源， 不在指定范围内的统统拒绝。相比同源策略，CSP 可以说是很严格了。

其实施有两种途径：

  • 服务器添加 Content-Security-Policy 响应头来指定规则
  • HTML 中添加 标签来指定 Content-Security-Policy 规则

mobile.twitter.com header 中的 CSP 规则

为了测试方便，以下示例均使用 <meta> 标签来开启 CSP 规则。但 <meta> 中有些指令是不能使用的，后面会了解到。只有响应头中才能使用全部的限制指令。

一个简单示例

创建一个 HTML 文件放入以下内容：

csp_test.html

<!DOCTYPE html>
<html lang="en">
<head><meta http-equiv="Content-Security-Policy" content="script-src
最低0.47元/天 解锁文章
th3383193
关注
WEB安全：Content Security Policy (CSP) 详解
_midnight的博客
05-28 1606
跨站脚本攻击 (XSS) 是一种常见的安全漏洞，攻击者通过注入恶意脚本来劫持用户会话、破坏网站内容或进行钓鱼攻击。存储型 XSS：恶意脚本被永久存储在目标服务器上（如数据库），并在用户访问时执行。反射型 XSS：恶意脚本通过 URL 参数或表单提交传递，并在服务器响应中反射给用户。DOM 型 XSS：恶意脚本通过修改客户端的 DOM 结构直接在浏览器中执行。
Content Security Policy
qq_38344321的博客
09-03 5031
Content Security Policy（内容安全策略，简称csp）用于检测并阻止网页加载非法资源的安全策略，可以减轻xss攻击带来的危害和数据注入等攻击。本文讲述的内容主要有如何使用csp和业务接入csp流程这两部分。 简介 csp主要工作是定义一套页面资源加载白名单规则，浏览器使用csp规则去匹配所有资源，禁止加载不符合规则的资源，同时将非法资源请求进行上报。 csp作用：减轻网页被xss攻击后所受到的危害。实际上csp是在xss攻击发生后才起作用，阻止请求注入的非法资源，csp并不是直接阻止xs
Web 安全之内容安全策略详解（Content-Security-Policy,CSP）
乌龙茶不甜的博客
04-27 1万+
1.CSP 简介 内容安全策略（Content Security Policy，简称CSP）是一种以可信白名单作机制，来限制网站是否可以包含某些来源内容，缓解广泛的内容注入漏洞，比如 XSS。 简单来说，就是我们能够规定，我们的网站只接受我们指定的请求资源。默认配置下不允许执行内联代码（2.CSP 使用方式 CSP可以由两种方式指定： HTTP Header 和 HTML。 通过定义在HTTP header 中使用： "Content-Security-Policy:" 策略集 通过定义在 HTML me
Content Security Policy (CSP) 介绍
weixin_34006468的博客
08-23 255
当我不经意间在 Twitter 页面 view source 后，发现了惊喜。 &lt;!DOCTYPE html&gt; &lt;html lang="en"&gt; &lt;head&gt; &lt;meta charset="utf-8" /&gt; &lt;title&gt;Twitter&lt;/title&am
Content Security Policy 入门教程
weixin_33805557的博客
09-30 199
Content Security Policy 入门教程 跨域脚本攻击XSS是最常见、危害最大的网页安全漏洞。 为了防止它们，要采取很多编程措施，非常麻烦。很多人提出，能不能根本上解决问题，浏览器自动禁止外部注入恶意脚本？这就是"网页安全政策"（Content Security Policy，缩写 CSP）的来历。本文详细介绍如何使用 CSP 防...
WEB应用内容安全策略(Content Security Policy)
A_991128a的博客
01-15 3419
它通过让开发者对自己WEB应用声明一个外部资源加载的白名单,使得客户端在运行WEB应用时对外部资源的加载做出筛选和识别,只加载被允许的网站资源.对于不被允许的网站资源不予加载和执行.同时,还可以将WEB应用中出现的不被允许的资源链接和详情报告给我们指定的网址.如此,大大增强了WEB应用的安全性.使得攻击者即使发现了漏洞,也没法注入脚本,除非还控制了一台列入了白名单的服务器.使用这种模式,将会直接阻止非法的外部资源加载,同时也可以选择是否配置将非法资源加载的链接和行为报告给我们指定的网址。
CSP（Content Security Policy）是一种用于增强 Web 应用程序安全性的安全标头.docx
最新发布
04-01
### CSP（Content Security Policy）详解 #### 一、CSP 的基本概念 CSP，即内容安全策略(Content Security Policy)，是一种安全策略机制，通过在HTTP响应头部定义一系列指令，指导浏览器仅加载符合策略规则的资源...
HTML5安全介绍之内容安全策略（CSP）简介
01-19
万维网的安全策略植根于同源策略。...每个来源都与网络的其它部分分隔开，为开发人员构建了一个... 现在我们介绍一个全新的、有效的安全防御策略来减轻这种风险，这就是内容安全策略（ContentSecurity Policy，CSP）。
Content-Security-Policy.md
06-05
如何设置meta 标签防止XSS攻击,以及CSP的一些说明, CSP 大大增强了网页的安全性。攻击者即使发现了漏洞，也没法注入脚本，除非还控制了一台列入了白名单的可信主机。 两种方法可以启用 CSP。一种是通过 HTTP 头信息的`Content-Security-Policy`的字段。
使用Content Security Policy (CSP) 防范XSS攻击
跨站脚本攻击（Cross-Site Scripting, XSS）是一种常见的Web安全漏洞，攻击者通过向目标网页注入恶意脚本来获取用户的敏感信息或者执行恶意操作。XSS攻击的危害非常严重，可能导致用户的个人信息泄露、账号被盗取、...
使用CSP防止XSS攻击
weixin_30834019的博客
10-24 786
转载自阮一峰博客：http://www.ruanyifeng.com/blog/2016/09/csp.html 跨域脚本攻击XSS是最常见、危害最大的网页安全漏洞。 为了防止它们，要采取很多编程措施，非常麻烦。很多人提出，能不能根本上解决问题，浏览器自动禁止外部注入恶意脚本？ 这就是"网页安全政策"（Content Security Policy，缩写 CSP）的来历。本...
Vue进阶（三十三）Content-Security-Policy（CSP）详解
IT全栈 华强工作室
09-05 7394
跨域脚本攻击（XSS）是最常见、危害最大的网页安全漏洞。XSS 攻击利用了浏览器对于从服务器所获取的内容的信任。恶意脚本在受害者的浏览器中得以运行，因为浏览器信任其内容来源，即使有的时候这些脚本并非来自于它本该来的地方。为了防止它，要采取很多编程措施（比如大多数人都知道的转义、过滤HTML）。很多人提出，能不能根本上解决问题，即浏览器自动禁止外部注入恶意脚本？这就是"内容安全策略"（，缩写CSP）的由来。CSP。
Content Security Policy (CSP)内容安全策略
飞翔的熊blabla
08-05 1146
CSP简介 Content Security Policy(CSP)，内容（网页）安全策略，为了缓解潜在的跨站脚本问题(XSS攻击)，浏览器的扩展程序系统引入了内容安全策略（CSP）这个概念。 CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。 两种方法启用 CSP 一种是通过 HTTP 响应头信息的Content-Security-Policy字段。 一种是通过网页的标签。 <meta h
Web安全之Content Security Policy(CSP 内容安全策略)详解
路多辛的所思所想
04-12 6575
Content-Security-Policy值由一个或多个指令组成，多个指令用分号分隔。script-src：外部脚本style-src：样式文件img-src：图片文件media-src：媒体文件（音频和视频）font-src：字体文件object-src：插件（比如 Flash）child-src：框架frame-ancestors：嵌入的外部资源（比如、、和）
内容安全策略 Content-Security-Policy
热门推荐
qq_30436011的博客
10-24 3万+
1、限制资源获取：限制网页当中一系列的资源获取的情况，从哪里获取，请求发到哪个地方限制方式：default-src限制全局的和链接有关的作用范围根据资源类型（connect-src、img-src等），限制资源范围2、报告资源获取越权：在网页当中获取了一些我们不应该获取的资源的时候，给服务进行报告，报告资源获取越权，然后做出调整之所以报这个错误，就是我们加了这个头的作用。这个时候 inline脚本还是不能执行的。如果引入外链的脚本文件，则会报错，这样就可限制，只能使用我们本站使用的脚本。
c# 的Content-Security-Policy(csp)配置
09-02
C# 中的 Content-Security-Policy (CSP) 配置用于设置网页中的安全策略，以防止一些常见的网络攻击，例如跨站脚本攻击 (XSS) 和点击劫持等。下面是一个示例的 CSP 配置： ```csharp using Microsoft.AspNetCore.Builder; using Microsoft.Extensions.DependencyInjection; public class Startup { public void ConfigureServices(IServiceCollection services) { // 添加 CSP 配置 services.AddAntiforgery(options => { options.HeaderName = "X-XSS-Protection"; options.HeaderValue = "1; mode=block"; }); } public void Configure(IApplicationBuilder app) { // 使用 CSP 配置 app.Use(async (context, next) => { context.Response.Headers.Add("Content-Security-Policy", "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'"); await next(); }); // 其他中间件 } } ``` 上述示例中，我们使用了 `AddAntiforgery` 方法来设置 `X-XSS-Protection` 头部的值为 `1; mode=block`，以启用浏览器的内置 XSS 保护。接着，在 `Configure` 方法中使用了自定义的中间件来添加 CSP 头部，并指定了一些策略规则。 在上述 CSP 配置中，我们允许了 `default-src`、`script-src` 和 `style-src` 这三个指令，并设置了允许加载资源的源，例如 `'self'` 表示只允许加载同源的资源，`'unsafe-inline'` 表示允许内联的脚本和样式。 请注意，这只是一个简单的示例配置，并不一定适用于所有的情况，具体的 CSP 配置应根据实际需求和安全性考虑进行调整。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值