提醒：本文最後更新於 688 天前，文中所描述的資訊可能已發生改變，請謹慎使用。

本文要介紹的是 W3C 的 Content Security Policy，簡稱 CSP。顧名思義，這個規範與內容安全有關，主要是用來定義頁面可以載入哪些資源，減少 XSS 的發生。

Chrome 擴充套件已經引入了 CSP，通過 manifest.json 中的 content_security_policy 欄位來定義。一些現代瀏覽器也支援通過響應頭來定義 CSP。下面我們主要介紹如何通過響應頭來使用 CSP，Chrome 擴充套件中 CSP 的使用可以參考 Chrome 官方文件。

瀏覽器相容性

早期的 Chrome 是通過 X-WebKit-CSP

完整的瀏覽器 CSP 支援情況請移步 CanIUse。

如何使用

要使用 CSP，只需要服務端輸出類似這樣的響應頭就行了：

Content-Security-Policy: default-src 'self'

default-src 是 CSP 指令，多個指令之間用英文分號分割；'self' 是指令值，多個指令值用英文空格分割。目前，有這些 CSP 指令：

指令值可以由下面這些內容組成：

從上面的介紹可以看到，CSP 協議可以控制的內容非常多。而且如果不特別指定 'unsafe-inline' 時，頁面上所有 inline 樣式和指令碼都不會執行；不特別指定 'unsafe-eval'，頁面上不允許使用 new Function，setTimeout，eval 等方式執行動態程式碼。在限制了頁面資源來源之後，被 XSS 的風險確實小不少。

當然，僅僅依靠 CSP 來防範 XSS 是遠遠不夠的，不支援全部瀏覽器是它的硬傷。不過，鑑於低廉的開發成本，加上也沒什麼壞處。如果擔心影響面太大，也可以像下面這樣，僅收集不匹配規則的日誌，先觀察下：

Content-Security-Policy-Report-Only: script-src 'self'; report-uri http://test/

這樣，如果頁面上有 inline JS，依然會執行，只是瀏覽器會向指定地址傳送一個 POST 請求，包含這樣的資訊：

{"csp-report":{"document-uri":"http://test/test.php","referrer":"","violated-directive":"script-src 'self'","original-policy":"script-src 'self'; report-uri http://test/","blocked-uri":""}}

CSP 先介紹到這裡。現代瀏覽器支援不少與安全有關的響應頭，以後接著再介紹。已經寫完了，請點這裡繼續瀏覽。

--EOF--

發表於 2013-07-22 18:40:39 ，並被新增「 XSS 、 Header 、 CSP 」標籤 ，最後修改於 2017-02-21 17:20:32 。檢視本文 Markdown 版本 »

提醒：本文最後更新於 688 天前，文中所描述的資訊可能已發生改變，請謹慎使用。