内容安全策略(Content-Security-Policy,简称CSP)
概念：
内容安全策略(CSP)是一种web应用技术用于帮助缓解大部分类型的内容注入攻击，包括XSS攻击和数据注入等，这些攻击可实现数据窃取、网站破坏和作为恶意软件分发版本等行为。该策略可让网站管理员指定客户端允许加载的各类可信任资源。
浏览器支持：
统计来源：caniuse.com/contentsecuritypolicy & Mozilla
指令参考：
Content-Security-Policy 响应头的值可配置一个或多个，多个指令以分号;隔开。
|
指令 |
示例 |
描述 |
|
default-src |
'self' cdn.example.com |
默认配置，若其他指令没有配置，都以此配置的规则为准 |
|
script-src |
'self' js.example.com |
定义允许加载的JavaScript来源 |
|
style-src |
'self' css.example.com |
定义允许加载的样式表来源 |
|
img-src |
'self' img.example.com |
定义允许加载的图片来源 |
|
connect-src |
'self' |
适用于XMLHttpRequest(AJAX),WebSocket或EventSource，当为不允许的来源，浏览器返回一个400的状态码。 |
|
font-src |
font.example.com |
定义允许加载的字体来源 |
|
object-src |
'self' |
定义允许加载的插件来源. eg,<object>,<embed>或<applet> |
|
media-src |
media.example.com |
定义允许加载的audio和video. eg,HTML5 <audio>,<video>元素 |
|
frame-src |
'self' |
定义允许加载的框架来源 |
|
sandbox |
allow-forms allow-scripts |
授权一个沙箱用来请求具有iframe sanbox等类似属性的资源,该沙箱默认为同源策略,禁止弹出窗口,执行插件和脚本.若要允许其他,可增加配置: allow-forms,allow-same-origin, allow-scripts,allow-top-navigation |
|
report-uri |
/some-report-uri |
该配置让浏览器发送一个失败报告到指定的路径，也可以增加-Report-only到HTTP头,让浏览器只发送报告(不做阻止动作) |
来源配置参考：
所有的指令都要在配置后面添加来源列表，多个来源列表可用空格隔开，*和none只能存在一个。
|
指令值 |
示例 |
描述 |
|
* |
img-src * |
无限制，允许所有 |
|
'none' |
object-src 'none' |
禁止加载任何路径的资源 |
|
'self' |
script-src 'self' |
允许加载同源的资源 |
|
data: |
img-src 'self' data: |
允许通过数据模式加载资源 |
|
domain.ccc.com |
img-src img.ccc.com |
允许加载匹配域名的资源 |
|
*.ccc.com |
img-src *.ccc.com |
允许加载匹配域名的资源 |
|
https://img.ccc.com |
img-src https://img.ccc.com |
允许加载匹配https方式的域名资源 |
|
https: |
img-src https: |
允许加载所有匹配https方式的资源 |
|
'unsafe-inline' |
script-src 'unsafe-inline' |
允许使用内联元素,类似,Style attribute,onclick,scripttag bodies |
|
'unsafe-eval' |
script-src 'unsafe-eval' |
允许不安全的动态编码，例如eval() |
例子：
只允许加载同源的所有资源
default-src 'self';
支持*号匹配
default-src 'self' https://*.ccc.com:*;
只允许加载同源的脚本
script-src 'self';
只允许加载同源的和www.ccc.com的脚本
script-src 'self' www.ccc.com;
常见配置：
该策略允许加载同源的图片、脚本、AJAX和CSS资源，并阻止加载其他任何资源，对于大多数网站是一个不错的配置。
default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';
被禁止时的报错信息：
谷歌浏览器可通过谷歌开发工具查看该报错，通常是按F12
Refused to load the script 'script-uri' because it violates the following Content Security Policy directive: "your CSP directive".
Firefox 可通过 Web Developer Tools: 查看报错
Content Security Policy: A violation occurred for a report-only CSP policy ("An attempt to execute inline scripts has been blocked"). The behavior was allowed, and a CSP report was sent.
参考：
http://content-security-policy.com/