如何正确设置并利用浏览器的Content Security Policy策略？

哎呀， 今天在浏览微信页面的时候，发现他的script标签上都有个once属性，好奇之下查阅了一番，发现这个属性是和一个http header Content-Security-Policy有关，这个header不看不知道，一看吓一跳啊，一把利器啊

正宗。 大家知道吗，Web平安这东西，说起来全是泪。我们天天喊着防XSS，防注入，但是黑客们总是比我们聪明一点点。不过呢， 今天我要给大家安利一个超级厉害的东西，叫做Content Security Policy，简称CSP。这玩意儿简直就是Web世界的防盗门，装上它，你的平安感瞬间爆棚！

先说说我们要搞清楚一个概念，叫同源限制。什么是同源限制？就是来自... 导语本文简述了几种主要的web平安漏洞,并就如何防范XSS攻击详细介绍了内容平安策略的概念及应用。作者|邓晓,腾讯web前端开发助理工程师 传统的防御手段虽然有效， 但CSP提供了更深层的保护——它通过白名单机制，告诉浏览器只加载和施行来自特定来源的资源。这就像是你去参加派对，你给保安一份名单，只有名单上的人才能进来其他的统统挡在门外。是不是很霸道？但是很管用！ CSP到底是什么鬼？ CSP全称Content Security Policy ,可以直接翻译为内容平安策略,说白了,就是为了页面内容平安而制定的一系列防护策略. 通过CSP所约束的的规责指定可信的内容来源。通过CSP协定,让WEB处于一个平安的运行环境中。 有什么用? 我们知道前端有个很著名的 同源策略 ,简单说,就是说一个页面的资源只能从与之同源的服务器获取,而不允许跨域获取.这样可以避免页面被注入恶意代码,影响平安.但是这个策略是个双刃剑,挡住恶意代码的一边也限制了前端的灵活性,那有没有一种方法既可以让我们可以跨域获... 文章浏览阅读5.8k次。内容平安策略是一种由W3C定义的规范,旨在增强Web应用平安性,防止跨站脚本等攻击。本文详细介绍了CSP的原理、版本、模式及配置方法,演示了如何使用CSP保护网站资源。 内容平安策略(Content Securi... 默认情况下,违规报告并不会发送。为启用发送违规报告,你需要指定report-uri策略指令,并提供至少一个URI地址去递交报告。