诚之和:Spring Security 的内容安全策略随机数

最新推荐文章于 2024-08-24 11:39:59 发布

weixin_45378258

最新推荐文章于 2024-08-24 11:39:59 发布

阅读量355

点赞数

分类专栏： java 文章标签： java

本文链接：https://blog.csdn.net/weixin_45378258/article/details/120414415

版权

本文探讨了Spring Security的内容安全策略(CSP)，强调了CSP在网络安全中的重要性，以及如何通过动态构建策略字符串来增强其安全性。由于静态CSP策略无法满足动态生成随机数的需求，文章介绍了如何定义一个CSPnonce过滤器，并结合Spring Security进行配置，以确保每个请求的随机数不同。同时，文章提到了内联JavaScript的风险，并提供了在必要时使用内联脚本的方法。

摘要由CSDN通过智能技术生成

Content-Security-Policy对网络安全很重要。然而，它还不是主流，它的语法很难，它相当令人望而却步，工具很少对其提供灵活的支持。

虽然 Spring Security 确实有一个内置的内容安全策略 (CSP) 配置，但它允许您指定策略字符串，而不是动态构建它。在某些情况下，您需要的不止这些。

特别是，CSP 不鼓励用户使用内联 javascript，因为它引入了漏洞。如果你真的需要它，你可以使用unsafe-inline，但这是一个糟糕的方法，因为它否定了 CSP 的全部意义。该页面上显示的替代方法是使用hash或nonce。

如果您使用.and().headers().contentSecurityPolicy(policy). 策略字符串是静态的，因此您无法为每个请求生成随机数。拥有静态随机数是没有用的。首先，您定义一个 CSP nonce 过滤器：

public class CSPNonceFilter extends GenericFilterBean {
    private static final int NONCE_SIZE = 32; //recommended is at least 128 bits/16 bytes
    private static final String CSP_NONCE_ATTRIBUTE = "cspNonce";
 
    private SecureRandom secureRandom = new SecureRandom();
 
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, Filte