|
|
它曾是世界性图书馆梦的开始，现在它是全球知识的聚集地，它是目前最流行的，人们将应用都部署之上的万维网。
它是敏捷的代表，它不是单一的实体，它由客户端和服务端组成，它的功能在不断地强大，它还有标准。
虽然越来越多的解决方案非常适用于发现什么可行，什么不可行，但它几乎没有一致性，没有易于应用的编程模型。俗话说的好：事情越简单，越安全。简单的事物很难有像XSS，CSRF或点击挟持的漏洞。
由于HTTP是一个可扩展的协议，各浏览器厂商都率先推出了有效的头部，来阻止漏洞利用或提高利用漏洞的难度。了解它们是什么，掌握如何应用，可以提高系统的安全性。
1.Content-Security-Policy它怎么就那么好？
怎么才能尽可能不遭受XSS攻击呢？如果有人在你的服务器上写了如下代码浏览器可能不去解析？
复制代码代码如下:
，
下面是内容安全规范中的说明。
添加内容安全规范头部并赋以适当的值，可以限制下面属性的来源：
复制代码代码如下:
script-src: JavaScript code （biggest reason to use this header）
connect-src: XMLHttpRequest, WebSockets, and EventSource.
font-src: fonts
frame-src: frame ulrs
img-src: images
media-src: audio & video
object-src: Flash （and other plugins）
style-src: CSS
需要特别指定的：
Content-Security-Policy: script-src \“self\“ https://apis.google.com
这就意味着脚本文件只能来自当前文件或apis.google.com（谷歌的JavaScript CDN）
另一个有用的特性就是你可以自动应用沙盒模式 于整个站点。如果你想试一试效果，你可以用“Content-Security-Policy-Report-Only”头部运行一下，让浏览器返回一个你选的URL。推荐阅读一下HTML5Rocks上的一篇CSP的介绍。
有什么收获？
遗憾的是IE还是只支持沙盒模式，并且用的是“X”前缀。安安卓它支持最新的4.4版。
当然，它也不是万能的，如果你动态的产生一个JavaScript，黑客还是能把恶意JS植入你的服务器中。包含它不会产生危害，在Chrome、 Firefox 和 iOS都能保护用户。
（责任编辑：网络） |
|
发表于 2020-10-29 00:00:00
