javascript - 是否有理由使用安全性较低的内容安全策略 (CSP)？

Question

我正在学习内容安全策略。

假设我的网站 abc.com 有以下 csp:

default-src 'self' 'unsafe-inline' 'unsafe-eval' xyz.com

这是否意味着它将使用 xyz.com 的 csp 源？

如果我将其更改为:

default-src 'self'

如果第一个更安全，是否有理由使用更简单的一个？换句话说，拥有更安全的 csp 不是更好吗？

谢谢

Answer 1

default-src 'self' 'unsafe-inline' 'unsafe-eval' xyz.com

Does this mean that it will use the source of csp from xyz.com?

'self'

指 protected 文档的服务来源，包括相同的 URL 方案和端口号。

'unsafe-inline'

允许使用内联资源，例如内联<script>元素，javascript: URL、内联事件处理程序和内联 <style>元素。

'unsafe-eval'

允许使用 eval() 和类似的方法从字符串创建代码。

xyz.com

允许来自“xyz.com”主机的内容。 (参见源下的host-source)

来源:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/default-src

<小时/>

第二个 CSP 比第一个更具限制性。它只允许来自同一来源的内容托管。

我建议阅读 this documentation更好地了解 CSP 的目的以及如何最有效地使用它们。