關於Web的安全內容政策 - Content Security Policy (CSP)

為什麼制定安全政策這麼重要呢？

可以制定哪些規則呢？

• connect-src： 指定來訪的連接源， websocket、XHR...等。
• script-src：指定外部腳本的來源，通常我們會動態載入外部的腳本，那假設我們僅信任某些網站，就可以將這類網站資源加入白名單。
• image-src: 圖片的來源。
• media-src： video、audio...等影音來源。
• frame-ancestors： 是否允許網站內嵌。
• 更多規則請查看...

使用範例

Content-Security-Policy: script-src 'self'; img-src 'self'

什麼時候使用？

• 互動式網站，例如留言、聊天...等，可以讓使用者輸入的網頁。
• 與金流相關的重要功能。
• 與使用者個人資訊高度相關的頁面。

什麼時候不需要使用？

• 靜態網站：當網站的目標族群僅是提供瀏覽用。
• 不需要登入也沒有Cookie，那麼這類型網站就可以不必使用Content Security Policy (CSP)。

來檢驗我們瀏覽的網站是否足夠安全吧！

資源參考

• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy
• https://www.imperva.com/learn/application-security/content-security-policy-csp-header/
• https://content-security-policy.com/

📝更多Web相關文章

• 關於Web的同源政策(Same Origin Policy)
• Web世界的邦交國政策 — 跨來源資源共用（Cross-Origin Resource Sharing, CORS）
• 你的資料如何被偷走？ Web安全篇 - 跨站請求偽造(CSRF )
• Web世界中潛藏的危機 - 跨網站指令碼(XSS)
• 關於Web的安全內容政策 - Content Security Policy (CSP)