Content-Security-Policy的理解

[zhaoqize]

Content-Security-Policy介绍

Content-Security-Policy 中文的意思是 网页安全政策，主要用来防止XSS攻击。

如何防范XSS攻击的

通过 Content-Security-Policy 网页的开发者可以控制整个页面中 外部资源 的加载和执行。

比如可以控制哪些 域名下的静态资源可以被页面加载，哪些不能被加载。

这样就可以很大程度的防范了 来自 跨站(域名不同) 的脚本攻击。

它还有个非常响亮的称号：XSS攻击的终结者😄

如何使用

对于页面开发者来说，只需要在页面中设置

<meta http-equiv="Content-Security-Policy" content="">

类别

key	作用
default-src	给下面所有的规则设定一个默认值
script-src	外部脚本
style-src	样式表
img-src	图像
media-src	媒体文件（音频和视频）
font-src	字体文件
object-src	插件（比如 Flash）
child-src	框架
frame-ancestors	嵌入的外部资源（比如、