javascript - 有没有办法阻止 JavaScript 在我的网站上运行？

Question

我的目标是阻止可以向我的网站发布内容的用户插入恶意 JavaScript 代码的任何尝试。假设我的网站没有使用 JavaScript，我是否可以在每个页面的顶部放置一些标记或其他一些方式来实现 JS 在我的页面上运行的可能性？ (页面开头的一小段 JS 就可以，只要它能确保不再执行更多代码即可)非常感谢。

Answer 1

是的，有!

大多数现代网络浏览器都支持 Content-Security-Policy header ，这将允许您在 HTTP header 中声明您的网站将从中加载某些类型的内容，包括 Javascript 代码。声明您的网站不会加载任何 Javascript 代码，也不会声明任何内联代码是完全可行的，这将有效地禁用您网站上的 Javascript。

禁用所有 Javascript 的简单策略可能是:

Content-Security-Policy: script-src 'none'

但是请记住，并非所有浏览器都实现内容安全策略。您仍然需要执行适当的数据清理以保护不支持 CSP 的浏览器。