内容安全策略(CSP)详解

最新推荐文章于 2025-04-18 10:10:08 发布

卖菜的小白

最新推荐文章于 2025-04-18 10:10:08 发布

阅读量8.6k

点赞数 10

分类专栏：计算机网络文章标签： CSP 内容安全策略 web安全安全

本文链接：https://blog.youkuaiyun.com/weixin_47450807/article/details/123224654

版权

内容安全策略（CSP）是一种防止跨站脚本攻击的浏览器安全策略，它允许开发者通过白名单方式指定浏览器可执行和加载的资源，增强网页安全性。CSP的意义在于提供一种防御XSS攻击的手段，限制了恶意脚本的执行，保护用户信息不被泄露。博客介绍了CSP的定义、意义、分类、使用方法和策略编写，为Web开发者提供了安全保障。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在上一篇博客我们主要总结了XSS攻击，本篇博客主要总结内容安全策略CSP的相关内容。
一、定义
内容安全策略(CSP)，是一种安全策略，其原理是当浏览器请求某一个网站时，告诉该浏览器申明文件可以执行，什么不可以执行。CSP是专门解决XSS攻击而生的神器。
CSP的引入会使得我们的引入扩展程序更加安全，并且可以由开发者指定可以加载扩展程序的类型，避免恶意的脚本在浏览器中执行，造成信息泄露问题。
二、CSP的意义
CSP是防XSS的利器，可以把其理解为白名单，开发者通过设置CSP的内容，来规定浏览器可以加载的资源，CSP 大大增强了网页的安全性。攻击者即使发现了漏洞，也没法注入脚本，除非还控制了一台列入了白名单的可信主机。
三、CSP的分类

(1)、Content-Security-Policy:
配置好并启用后，不符合CSP的外部资源就会被阻止加载。
(2)、Content-Security-Policy-Report-Only
表示不执行限制选项，只是记录违反限制的行为。它必须与resport-uri选项配合使用

四、CSP的使用

(1)、在HTTP Header上使用(首选)
"Content-Security-Policy":策略
"Content-Security-Policy-Only":策略

最低0.47元/天解锁文章