javascript - 使用 javascript 检测 CSP 违规

Question

是否可以使用 javascript 检测违反内容安全策略的行为？

我的 CSP 工作并发送其报告，我看到一些 url 被注入(inject)，可能是由浏览器插件注入(inject)的。我想向用户显示一个提示，一些插件试图修改页面。

我能以某种方式检测到与 javascript 的中止连接吗(当然它本身在 CSP 中被列入白名单)？

Answer 1

根据W3C CSP specification ，违反会触发 securitypolicyviolation 事件。您可以为此添加一个事件监听器。

document.addEventListener("securitypolicyviolation", function(e) {
    alert("Something is trying something bad!");
});

有关此事件的属性，请参阅上面的链接。

在 Firefox Release 中，您需要启用 security.csp.enable_violation_events 首选项才能启用此功能。参见 Experimental Features in Firefox文档。