内容安全策略(CSP)详解

在上一篇博客我们主要总结了XSS攻击，本篇博客主要总结内容安全策略CSP的相关内容。
一、定义
内容安全策略(CSP)，是一种安全策略，其原理是当浏览器请求某一个网站时，告诉该浏览器申明文件可以执行，什么不可以执行。CSP是专门解决XSS攻击而生的神器。
CSP的引入会使得我们的引入扩展程序更加安全，并且可以由开发者指定可以加载扩展程序的类型，避免恶意的脚本在浏览器中执行，造成信息泄露问题。
二、CSP的意义
CSP是防XSS的利器，可以把其理解为白名单，开发者通过设置CSP的内容，来规定浏览器可以加载的资源，CSP 大大增强了网页的安全性。攻击者即使发现了漏洞，也没法注入脚本，除非还控制了一台列入了白名单的可信主机。
三、CSP的分类

(1)、Content-Security-Policy:
配置好并启用后，不符合CSP的外部资源就会被阻止加载。
(2)、Content-Security-Policy-Report-Only
表示不执行限制选项，只是记录违反限制的行为。它必须与resport-uri选项配合使用

四、CSP的使用

(1)、在HTTP Header上使用(首选)
"Content-Security-Policy":策略
"Content-Security-Policy-Only":策略