apache - 内容安全策略 : allowing all external images?

Question

我想只允许来自本地服务器的脚本，除了 jQuery 等某些异常(exception)，但可以灵活地加载外部图像。
我知道有一个指令像

Content-Security-Policy: script-src 'self' https://apis.google.com; img-src 'self' https://www.flickr.com;

允许来自我自己的网络服务器和 Flickr 的图像，但是是否可以允许来自所有来源的图像 - 或者这是否违反了 CSP 的整个概念，因此是不可能的？我正在维护一个经常需要嵌入外部图像的博客，所以它基本上取决于是否有意义并且是否可以管理将 CSP 添加到我的网站。

Answer 1

就安全而言，包括来自所有来源的图像是最安全的做法，但您可能不喜欢可以使用的图像内容。

要允许所有图像，请使用:

img-src * data:;

将其限制为 https: 可能是合理的来源，因此您的用户不会收到混合内容(锁坏)错误:

img-src https: data:;

无论哪种情况，请务必发送 X-Content-Type-Options: nosniff"防止在 Chrome/IE 中发生的内容类型嗅探。我不确定 firefox 是否会处理指向 javascript 文件的图像标签，因为嗅探会将其视为 Javascript，但是您的 script-src应该防止那是可怕的。我不确定 apis.google.com托管用户脚本或仅限于典型的开源库。