content-security-policy - 无法识别的内容安全策略指令 : disown-opener, 反射-xss，引用

Question

我至少 90% 确定以下是 Chrome 实现 W3C's CSP standard 的结果，但我认为最好加倍努力并确保。

我目前正在为客户端实现严格的内容安全策略，并且在 Chrome 66 上遇到了以下策略指令的复杂性:

Unrecognized Content-Security-Policy directive 'disown-opener'.
Unrecognized Content-Security-Policy directive 'reflected-xss'.
Unrecognized Content-Security-Policy directive 'referrer'.

同样，我确定这是一个标准问题(因为我使用的是 MDN’s CSP documentation )。如果是这种情况，任何人都可以指导我竞争或替代指令吗？

Answer 1

Unrecognized Content-Security-Policy directive 'reflected-xss'

reflected-xss 指令是 removed from the CSP spec 一年多以前。但是您可以使用 X-XSS-Protection header 获得与 reflected-xss 完全相同的效果。

Unrecognized Content-Security-Policy directive 'referrer'.

referrer directive was dropped a long time ago 。改用 Referrer-Policy header 。

Unrecognized Content-Security-Policy directive 'disown-opener'

在任何外部链接上使用 rel=noopener 。除了 Edge 是 supported in all modern browsers。