javascript - 如何限制沙盒 iframe 可以连接的域？

Question

我正在创建类似应用生态系统的东西，其中每个应用都在沙盒 iframe 中运行并处理敏感数据。我想允许脚本，但我不希望 iframe 与任何第 3 方服务器通信，否则它可能会泄露此数据。

有没有办法像使用 Chrome 扩展一样强制执行白名单？我是不是用错了方法？

Answer 1

您将希望限制所有事物可以连接到哪些域，而不仅仅是 XHR(img 标记也可以泄漏数据)。现代浏览器提供了一项功能来执行此操作，称为 Content Security Policy .

特别是，要将域列入白名单，您需要返回如下 header :

Content-Security-Policy: default-src 'self' safedomain.com securedomain.com

与任何与安全相关的内容一样，请确保您仔细阅读了该主题并了解您正在处理的内容的含义。从 Stack Overflow 答案中复制粘贴代码是不够的。

另请记住，一些较旧的浏览器不支持此功能，并且会默默地不强制执行它，因此您可能希望检测到这一点并防止这些浏览器暴露敏感数据。