securitysun
securitysun

HTTP 响应头Content-Security-Policy

HTTP 响应头Content-Security-Policy允许站点管理者控制用户代理能够为指定的页面加载哪些资源。

除了少数例外情况，设置的政策主要涉及指定服务器的源和脚本结束点。

这将防止跨站脚本攻击（Cross-Site Script)。

更多信息，查看https://blog.csdn.net/realmardrid/article/details/108205602

禁止修改的消息首部指的是不能在代码中通过编程的方式进行修改的http协议消息首部。

本文仅讨论相关的HTTP请求首部（关于禁止修改的响应首部，请参考Set-Cookie或 Set-Cookie2）。

用户代理对这些消息首部保留全部控制权，应用程序无法设置它们。

Names starting with `Sec-` are reserved for creating new headers safe from apis using Fetch that grant developers control over headers, such as XMLHttpRequest

禁止修改的消息首部包括以 Proxy- 和 Sec- 开头的消息首部，以及下面列出的消息首部：

  • Accept-Charset
  • Accept-Encoding
  • Access-Control-Request-Headers
  • Access-Control-Request-Method
  • Connection
  • Content-Length
  • Cookie
  • Cookie2
  • Date
  • DNT
  • Expect
  • Host
  • Keep-Alive
  • Origin
  • Proxy-
  • Sec-
  • Referer
  • TE
  • Trailer
  • Transfer-Encoding
  • Upgrade
  • Via

语法

Content-Security-Policy: ;

指令

获取指令：Fetch directives

通过获取指令来控制某些可能被加载的确切的资源类型的位置。

child-src

child-src：为 web workers和其他内嵌浏览器内容（例如用和