web安全csp白名单的弊端

Kill Console

于 2019-12-23 11:35:47 发布

阅读量922

点赞数

本文链接：https://blog.youkuaiyun.com/gr32442187do/article/details/103662778

版权

本文探讨了Content Security Policy (CSP)在确保Web安全的同时，如何与Chrome扩展产生冲突，导致script标签内容被拦截和资源加载失败的问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

csp的使用方式：

<meta http-equiv="Content-Security-Policy" content="script-src 'self'  cdn.staticfile.org *.cnzz.com hm.baidu.com *.fraudmetrix.cn *.tongdun.net *.geetest.com blob: 'unsafe-inline' 'unsafe-eval'">

还可以强制本页面资源升级到https：

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

csp弊端：

一. chrome-extension 直接嵌入script标签的方式：

<script type="text/javascript" src="chrome-extension://cfjajdmplgcnfchakhmfonhbckkjefng/js/kendogrid.js"></script>

CSP会进行拦截报错，不加载js：

二. 使用谷歌插件对script标签内的js进行拦截替换

<script type="text/javascript" src="//<?= STATIC_DOMAIN ?>/j

最低0.47元/天解锁文章