php - 无法通过 PHP 修改内容安全策略 header

Question

这个问题我已经有一段时间了，但它现在才成为一个真正的问题。

我在几年前实现了内容安全政策。我使用 PHP 来设置 header 。下面是我的标题。

Content-Security-Policy: default-src 'self' www.googleadservices.com ssl.google-analytics.com www.google-analytics.com googleads.g.doubleclick.net

这非常有效。但是，如果我以任何方式更改它，发送的 header 仍然相同。即使我删除了服务器发送的代码。

我认为浏览器可能会缓存它，但新的浏览器和在线 header 检查器一样做同样的事情。我认为 Web 服务器可能会对此进行缓存，但对其他 header 指令的修改工作正常。

我在 Windows Web Server 2008 上使用 IIS7.5 和 PHP 5.6.31 NTS。

这是一个奇怪的问题，Google 和 SO 搜索都没有发现任何问题。

代码:旧代码:

header("Content-Security-Policy: default-src 'self' www.googleadservices.com 
ssl.google-analytics.com  www.google-analytics.com googleads.g.doubleclick.net
");

新代码:

header("Content-Security-Policy: default-src 'self' www.googleadservices.com 
ssl.google-analytics.com www.google-analytics.com googleads.g.doubleclick.net sealserver.trustwave.com; 
style-src 'self' fonts.googleapis.com; object-src 'none';
");

结果标题无论如何。

Content-Security-Policy: default-src 'self'  www.googleadservices.com 
ssl.google-analytics.com www.google-analytics.com 
googleads.g.doubleclick.net

如有任何提示，我们将不胜感激。

Answer 1

I use PHP to set the headers. (...) However, if I change it in any way, the header sent is still the same. Even if I delete the code the server sends it anyway.

我对为什么要发送旧 header 的最佳猜测是:代码在一个奇怪的地方做了一些意想不到的事情。我会为 header() 的任何实例搜索整个源代码，然后从那里开始。

对于长期、易于维护的解决方案，您可能会发现 CSP-Builder比手动编写更容易。