PROSAGA码农传奇-大数据安全-内容 - 安全

内容 - 安全 - 政策问题

作者: 無口君
发布时间: 2024-03-23 06:54:19 (2月前)
转自：

<div class =“post-text”itemprop =“text”>
  <P>
    您的页面上有一个内联脚本，例如：
  </p>
   <pre>
    <code>
      <script>
...
</script>

</code>
  </pre>
  <P>
    这可以直接在您的HTML或使用的组件中（例如，您拉入到您页面的Facebook小部件添加此内容），也可以在浏览器使用的浏览器扩展中。
  </p>
  <P>
    您可以通过在配置中添加unsafe-inline来允许此在线脚本，如下所示：
  </p>
   <pre>
    <code>
      <IfModule mod_headers.c>
Header set Content-Security-Policy "script-src 'unsafe-inline' 'self' https://maxcdn.bootstrapcdn.com/ https://oss.maxcdn.com/ https://cdnjs.cloudflare.com https://ajax.googleapis.com https://maps.googleapis.com https://fonts.googleapis.com/ https://www.facebook.com/ https://www.facebook.net/ https://connect.facebook.net https://connect.facebook.com"
</IfModule>

</code>
  </pre>
  <P>
    但是，这将破坏内容安全策略（CSP）的大多数保护，CSP专门用于防止为您的站点运行的流氓脚本，以防止跨站点脚本（XSS）等安全问题。
  </p>
  <P>
    我建议你在实施之前先阅读更多关于CSP的内容。可以在这里建议我自己的博客作为首发：
    <a href="https://www.tunetheweb.com/security/http-security-headers/csp/" rel="nofollow">
      https://www.tunetheweb.com/security/http-security-headers/csp/
    </A>
  </p>
</DIV>