javascript - nodeJS - 我究竟可以把内容安全政策放在哪里

Question

我不知道在我的代码中的什么地方应用下面的内容安全策略 (CSP) 片段；

Content-Security-Policy: script-src 'self' https://apis.google.com

它应该在 HTML 中吗？

是否最好像下面的代码片段那样用 JavaScript 实现？

var policy = "default-src 'self'";
http.createServer(function (req, res) {
    res.writeHead(200, {
        'Content-Security-Policy': policy
    });
});

Answer 1

您只需要在 HTTP header 中设置它，而不是 HTML。这是一个带有静态服务器的 express 4 的工作示例:

var express = require('express');
var app = express();


app.use(function(req, res, next) {
    res.setHeader("Content-Security-Policy", "script-src 'self' https://apis.google.com");
    return next();
});

app.use(express.static(__dirname + '/'));

app.listen(process.env.PORT || 3000);

如果您想了解有关 CSP 的更多信息，这是一篇很棒的文章:http://www.html5rocks.com/en/tutorials/security/content-security-policy/

希望对您有所帮助!