css - CSP 样式-src : 'unsafe-inline' - is it worth it?

Question

目前，我在我的所有网站上都使用 Modernizr，事实证明，由于它的工作方式，它需要允许使用 unsafe-inline 样式。我已经不允许内联脚本和脚本的不安全评估。想知道允许内联样式存在哪些安全风险吗？

Answer 1

允许内联样式使您容易受到“其他 XSS”的攻击。跨站点样式攻击。

这里的想法是，用户可以在任何地方将样式属性注入(inject)到您的文档中，他们可以以任何他们想要的方式修改您页面的外观。我将列出几个按严重程度递增排序的潜在攻击:

1. 他们可能会将您的页面变成粉红色，让它看起来很傻。
2. 他们可能会修改您网页的文本，让您看起来好像在说一些冒犯性的话，可能会冒犯您的读者群。
3. 他们可以让用户生成的内容(例如他们提供的链接)出现在人们期望看到用户内容的正常位置之外，使其看起来像是官方的。 (例如，用他们自己的链接替换您网站上的“登录”按钮)。
4. 使用精心设计的样式规则，他们可以将页面中包含的任何信息发送到外部域，并公开或以其他方式恶意使用该数据来对付您的用户。

第四个例子，尽管有 unsafe-inline，但如果您确保您的其他 CSP 规则永远不允许任何类型的请求进入不受信任或通配符域。但是，如果您在某处错过了阻止样式属性，那么前 3 个总是可能的。

Mike West做得很好talk几年前在 CSSConf 上讨论了更多示例。