關於Web的安全內容政策 - Content Security Policy (CSP)
閱讀時間約 5 分鐘
我們前面已經介紹過「關於Web的同源政策(Same Origin Policy)」，大致上對於Web的安全政策有一些基本的認識了，那麼在嚴格把關之下，仍需適度的開放約定的來源，此為「Web世界的邦交國政策 — 跨來源資源共用（Cross-Origin Resource Sharing, CORS）」，但是開放的同時，難免遇到一些攻擊，諸如「你的資料如何被偷走？ Web安全篇 - 跨站請求偽造(CSRF )」、「Web世界中潛藏的危機 - 跨網站指令碼(XSS)」這類的攻擊手法，我們也具備一定的知識，接下來就進入到如何制定一些安全內容政策，來防止這類型的攻擊，也就是今天的主題Content Security Policy(CSP)。
文章最後將會提供一套CSP安全檢查工具，保護自身，避免踏入不安全地帶！
其實簡單來說就是白名單的概念，過濾入境人員，避免造成危害，在Web世界中亦是如此，防止載入不安全的內容，就算網站中具有注入腳本的地方也沒有關係，只要不載入或訪問外部資源就相對安全了。
為什麼制定安全政策這麼重要呢？
國家與國家之間雖然可以透過護照來入境，但總不可能所有人都無限制的進入吧！來來往往的人難免存在一些犯罪份子、通緝犯...等，如果未進行管制，那對國家的人民來說勢必會造成人身安全問題，因此對於入境人員就會有安檢機制，不能攜帶槍械、彈炮...等有害物品進入，被管制中的通緝犯也不能任意入境，這些都是基於安全政策，那麼網路世界呢？ 其實Web中就是透過Content Security Policy(CSP)的方式來制定這樣的規則。
可以制定哪些規則呢？
這邊僅著重於概念的描述，因此列出幾個常見的來源白名單配置選項，至於完整選項請參考這裡。
- connect-src： 指定來訪的連接源， websocket、XHR...等。
- script-src：指定外部腳本的來源，通常我們會動態載入外部的腳本，那假設我們僅信任某些網站，就可以將這類網站資源加入白名單。
- image-src: 圖片的來源。
- media-src： <video>、<audio>...等影音來源。
- frame-ancestors： 是否允許網站內嵌。
- 更多規則請查看...
使用範例
以下的表達方式代表我們的腳本只能是相同domain來源，多組規則就使用;隔開。
Content-Security-Policy: script-src 'self'; img-src 'self'
什麼時候使用？
- 互動式網站，例如留言、聊天...等，可以讓使用者輸入的網頁。
- 與金流相關的重要功能。
- 與使用者個人資訊高度相關的頁面。
什麼時候不需要使用？
- 靜態網站：當網站的目標族群僅是提供瀏覽用。
- 不需要登入也沒有Cookie，那麼這類型網站就可以不必使用Content Security Policy (CSP)。
來檢驗我們瀏覽的網站是否足夠安全吧！
Google也非常佛心的提供了一套CSP Evaluator的檢查網站，讓我們將有疑慮的網址透過此工具進行檢查。
舉例來說，我們將「https://translate.google.com.tw/?hl=zh-TW」Google翻譯的網址，丟給工具進行檢查，以下會幫我們檢測出該網站的安全政策規則是否達標。
覺得上述步驟太過於複雜嗎？ 因為上面的方式主要提供給開發者進行檢查自己的網站是否符合安全政策，對於一般使用者來說，假設使用的瀏覽器是chrome，那麼可以安裝這套由上述網站而來的物Chrome Extension CSP Evaluator。
安裝完成後，我們在進入一個網站時，右上角就會有安全等級標示，如果我們想要了解該網站哪些規則未制定，那麼就可以點開來看詳細資訊，不過一般使用者只需要知道以下標示的顏色所代表的意義即可：
資源參考
- https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy
- https://www.imperva.com/learn/application-security/content-security-policy-csp-header/
- https://content-security-policy.com/
📝更多Web相關文章
為什麼會看到廣告
116會員
262內容數
哈囉，我是阿Han，是一位 👩💻 軟體研發工程師，喜歡閱讀、學習、撰寫文章及教學，擅長以圖代文，化繁為簡，除了幫助自己釐清思路之外，也希望藉由圖解的方式幫助大家共同學習，甚至手把手帶您設計出高品質的軟體產品。
留言0
查看全部
你可能也想看
Google News 追蹤
徵的就是你 🫵 超ㄅㄧㄤˋ 獎品搭配超瞎趴的四大主題，等你踹共啦！還有機會獲得經典的「偉士牌樂高」喔！馬上來參加本次的活動吧！
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
在現今數位化的時代，網路攻擊頻率持續上升，其中又以DDoS攻擊最為常見且具破壞性。面對這種威脅，企業如何保護自身的網路資源成為了一大挑戰。CDN（內容傳遞網絡）作為一種有效的防禦工具，不僅能提升網站的性能與用戶體驗，還能大幅降低DDoS攻擊的風險。
在今天的數字世界中，網站安全性是極為重要的議題。隨著越來越多的網站選擇採用HTTPS協議加密數據傳輸，但這並不意味著它是絕對安全的。事實上，HTTPS本身也存在著一些安全隱患，這些隱患可能會影響網站的安全性和用戶的數據隱私。
1. SSL/TLS 憑證漏洞
HTTPS的加密基於SSL/TLS
在今日數位化的世界中，保護資料的安全性尤為重要。加密憑證（SSL/TLS Certificates）扮演著確保網站和用戶之間資料傳輸安全的重要角色。本文將深入探討加密憑證的原理、作用以及如何選擇適合的加密憑證來保護您的網站。
1. 加密憑證的基本概念
加密憑證是一種數位檔案，用於證明網站身份的真
在數位化日益深入的今天，駭客網路攻擊成為了各種組織和個人面臨的嚴重挑戰。本文將探討駭客網路攻擊的種類、影響及其防範策略，幫助讀者更好地理解和應對這一重要的安全問題。
什麼是駭客網路攻擊？
駭客網路攻擊是指未經授權的個人或組織通過技術手段，針對計算機系統、網路基礎設施或數據進行的攻擊行為。攻擊者可
說到「社會安全網」，你覺得那是什麼？
絕對不是什麼真的一張網子，或是什麼線上網站。而是當一個人在遇到危機的時候，這個社會安全網就會啟動。而這張虛擬的安全網會在我們需要著時候，來保護我們。
社會安全網，大到中央政府，小到家庭，每個人都可能是社會安全網的一部分。說起來很抽象。那我們來舉個例子。
在開發前後端分離架構時，使用兩個不同網域所遇到跨域請求問題。特別是在POST請求時行為差異大，揭示了「簡單請求」與「預檢請求」的關鍵差異。簡單請求不需預檢，但application/json會觸發預檢請求，需透過特定設定解決。分享這篇文章希望幫助開發者有效處理跨域問題。
本文介紹如何使用AWS WAF Rules規則，透過IP Set(白名單) 以及TW IP的設定，來達成阻擋除臺灣以外的請求。同時也介紹了設定規則所需的條件及真值表。該方法可有效提升網站的安全性。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
政府、法令是資訊安全的最後防線，本文從政府及法律層面探討網路安全議題，以及資通安全管理法和個資法的重要性。政府擴大進用資安人才，以及執行資通安全管理法、個資法的相關規定，對維護數位平臺安全有著重要作用。除此之外，文章還強調了民眾的資安素養及企業、政府的連手防禦對抗駭客組織及詐騙集團的重要性。
談了許多網路安全的議題，提醒民眾要注意哪些事情，建構哪些網路安全思維，讓我們可以降低踏入詐騙陷阱的風險。但除了民眾本身要不斷學習、提升防詐意識外，是不是還有其他方面的作法呢？ 本文就來聊聊在企業端可以做些什麼。
要打造一個密不可破的防護網，企業端就不能夠缺席。
舉幾個例子讓大家知道。
徵的就是你 🫵 超ㄅㄧㄤˋ 獎品搭配超瞎趴的四大主題，等你踹共啦！還有機會獲得經典的「偉士牌樂高」喔！馬上來參加本次的活動吧！
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
在現今數位化的時代，網路攻擊頻率持續上升，其中又以DDoS攻擊最為常見且具破壞性。面對這種威脅，企業如何保護自身的網路資源成為了一大挑戰。CDN（內容傳遞網絡）作為一種有效的防禦工具，不僅能提升網站的性能與用戶體驗，還能大幅降低DDoS攻擊的風險。
在今天的數字世界中，網站安全性是極為重要的議題。隨著越來越多的網站選擇採用HTTPS協議加密數據傳輸，但這並不意味著它是絕對安全的。事實上，HTTPS本身也存在著一些安全隱患，這些隱患可能會影響網站的安全性和用戶的數據隱私。
1. SSL/TLS 憑證漏洞
HTTPS的加密基於SSL/TLS
在今日數位化的世界中，保護資料的安全性尤為重要。加密憑證（SSL/TLS Certificates）扮演著確保網站和用戶之間資料傳輸安全的重要角色。本文將深入探討加密憑證的原理、作用以及如何選擇適合的加密憑證來保護您的網站。
1. 加密憑證的基本概念
加密憑證是一種數位檔案，用於證明網站身份的真
在數位化日益深入的今天，駭客網路攻擊成為了各種組織和個人面臨的嚴重挑戰。本文將探討駭客網路攻擊的種類、影響及其防範策略，幫助讀者更好地理解和應對這一重要的安全問題。
什麼是駭客網路攻擊？
駭客網路攻擊是指未經授權的個人或組織通過技術手段，針對計算機系統、網路基礎設施或數據進行的攻擊行為。攻擊者可
說到「社會安全網」，你覺得那是什麼？
絕對不是什麼真的一張網子，或是什麼線上網站。而是當一個人在遇到危機的時候，這個社會安全網就會啟動。而這張虛擬的安全網會在我們需要著時候，來保護我們。
社會安全網，大到中央政府，小到家庭，每個人都可能是社會安全網的一部分。說起來很抽象。那我們來舉個例子。
在開發前後端分離架構時，使用兩個不同網域所遇到跨域請求問題。特別是在POST請求時行為差異大，揭示了「簡單請求」與「預檢請求」的關鍵差異。簡單請求不需預檢，但application/json會觸發預檢請求，需透過特定設定解決。分享這篇文章希望幫助開發者有效處理跨域問題。
本文介紹如何使用AWS WAF Rules規則，透過IP Set(白名單) 以及TW IP的設定，來達成阻擋除臺灣以外的請求。同時也介紹了設定規則所需的條件及真值表。該方法可有效提升網站的安全性。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
政府、法令是資訊安全的最後防線，本文從政府及法律層面探討網路安全議題，以及資通安全管理法和個資法的重要性。政府擴大進用資安人才，以及執行資通安全管理法、個資法的相關規定，對維護數位平臺安全有著重要作用。除此之外，文章還強調了民眾的資安素養及企業、政府的連手防禦對抗駭客組織及詐騙集團的重要性。
談了許多網路安全的議題，提醒民眾要注意哪些事情，建構哪些網路安全思維，讓我們可以降低踏入詐騙陷阱的風險。但除了民眾本身要不斷學習、提升防詐意識外，是不是還有其他方面的作法呢？ 本文就來聊聊在企業端可以做些什麼。
要打造一個密不可破的防護網，企業端就不能夠缺席。
舉幾個例子讓大家知道。