Feature Policy: 一个新的安全性的http头部属性

最新推荐文章于 2024-04-17 08:27:20 发布

转载最新推荐文章于 2024-04-17 08:27:20 发布 · 2.3k 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：https://juejin.im/post/5c66880f51882561f34dc5e4

文章标签：

#java

FeaturePolicy是一种HTTP响应头属性，它允许网站管理员精细控制网站及其嵌入的iframe能够使用哪些浏览器特性和API，如geolocation、camera等，以此增强网站的安全性和保护用户隐私。通过设置Feature-Policy头部，可以指定特定的来源或上下文是否被允许使用这些功能。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Feature Policy是一个新的http响应头属性，允许一个站点开启或者禁止一些浏览器属性和API，来更好的确保站点的安全性和隐私性。可以严格的限制站点允许使用的属性是很愉快的，而可以对内嵌在站点中的iframe进行限制则更加增加了站点的安全性。

跟其他http安全响应头的设置一样，只需要敲定页面具体的限制策略，然后在http响应头中返回相应的策略即可：

Feature-Policy: vibrate 'self'; usermedia '*'; sync-xhr 'self' example.com
复制代码

语法

Feature-Policy: <directive> <allowlist>
复制代码

可以同时取多个值

*: 在页面和内嵌iframes里面都允许。
'self': 在页面上允许，在内嵌iframes内只允许同源资源使用。
'src': 仅在iframe内生效的属性，只允许iframe内src属性与设置头相同的资源使用。
'none': 在页面和内嵌中全部禁止。
<origin(s)>: 允许在特定的origin中使用，多个origins可以用空格隔开。

'*' 和 'none' 单独使用，'self' 和 'src'可以和一个或者多个origins并列使用

允许开启或者禁止的浏览器属性和API列表还没有完全敲定，但目前可以使用的有：

geolocation
midi
notifications
push
sync-xhr
microphone
camera
magnetometer
gyroscope
speaker
vibrate
fullscreen
payment
复制代码

转载于:https://juejin.im/post/5c66880f51882561f34dc5e4