content-security-policy - Content-Security-Policy header 应该在每个服务器响应中还是只在 text/html 中？

Question

应Content-Security-Policy header 是在每个服务器响应(图像、CSS、JS 等)中还是仅在 text/html(PHP 脚本的 .html 或 HTML 输出)中？

Answer 1

由于 CSP 是客户端保护，并且仅由浏览器处理 HTML 文档(无论是静态的还是由 PHP 或类似的动态创建的)，因此除了文本/html 文档外，不需要在任何其他内容上使用此 header 。

事实上，由于 CSP 策略可能非常大，因此仅在 HTML 文档响应中提供它可以节省带宽。

目前唯一的异常(exception)是 web workers .但是，如果您不使用它们，那么您现在可以忽略它们。

注意当前 CSP draft spec在目标部分说 CSP 用于控制:

The resources which can be requested (and subsequently embedded or executed) on behalf of a specific Document or Worker