CSP 全称为 Content Security Policy,即内容安全战略。首要以白名单的 *** 装备可信任的内容来历,在网页中,能够使白名单中的内容正常履行(包括 *** ,CSS,Image 等等),而非白名单的内容无法正常履行,然后削减跨站脚本进犯(XSS),当然,也能够削减运营商绑架的内容注入进犯。
示例:在 HTML 的 Head 中增加如下 Meta 标签,将在契合 CSP 规范的浏览器中使非同源的 script 不被加载履行。
<meta http-equiv="Content-Security-Policy" content="script-src 'self'">
不支持 CSP 的浏览器将主动会疏忽 CSP 的信息,不会有什么影响。详细兼容性可在caniuse检查
CSP 有两种战略类型:
Content-Security-Policy Content-Security-Policy-Report-Only这两种战略类型的首要差异也能够从命名上看出,之一种对不安全的资源会进行阻挠履行,而第二种只会进行数据上报,不会有实践的阻挠。
当界说多个战略的时分,浏览器会优先选用最早界说的。
CSP 的指令是组成内容来历白名单的要害,上面两种战略类型含有以下很多指令,能够经过调配得到满意网站资源来历的白名单。
[1] [2] [3] 黑客接单网
近年来,网络进犯越来越无孔不入,看似往常的活动在进犯者眼中也成为了潜在的进犯时机,作为这一趋势的最新事例,本文将展现进犯者是怎么经过人们日常的阅读行为来装置AZORult的。AZORult是一类特务软...
nginx lua模块淘宝开发的nginx第三方模块,它能将lua言语嵌入到nginx装备中,然后运用lua就极大增强了nginx的才能.nginx以高并发而闻名,lua脚本简便,两者的调配可谓完...
1. 导言 针对linux服务器进犯首要包含溢出提权进犯、端口扫描、后门程序植入等进犯手法,而针对web运用程序的进犯则掩盖愈加广泛,包含SQL注入、XSS、指令履行、文件包含、木马上传等缝隙。本文...
本次测验nginx+php与apache+php哪种组合的核算性能及稳定性更佳 操作系统:Centos6.4 x64 硬件环境: 服务器IP 硬件装备 人物 192.168.1.2 4中心 8G...
首要发现 百度阅读器是微柔和安卓渠道上的一种网络阅读器,个人用户在向服务器传输数据时进行加密,就算加密了也很简略被解密。阅读器更新时或许很轻易地被中心攻击者运用,履行恣意代码。 安卓版别的百度阅读器...
前语 这个标题的来历是@evilcos(余弦大大)在Github上共享的一个PPT,感兴趣的能够去他的repo下载。写这篇博客主要是想给自己最近业余时间学到的安全相关的常识做个总结,主要是关于网站常见...