image - 我应该禁用图像的 Content-Security-Policy header 吗？

Question

因为Content-Security-Policy header主要用来防止XSS attacks ，我认为如果我为 .png、.jpg、.ico 和 .webp 文件禁用它并不重要。因为它们一般不包含 HTML。

但我注意到的是:

当我不禁用图像文件的 CSP header 时，它不允许浏览器在直接访问图像文件时提供 HTML 布局，例如，我的意思是:当您访问 example.com/image.jpg 时，在 chrome 中，图像后面有黑色背景，并且位于屏幕中央。但是，当我打开 CSP 时，例如 chrome 在用户访问图像时为图像提供的每种样式都是无效的，因为 CSP 阻止了它。

现在，我的问题是:

我应该禁用图像文件的 CSP header 吗？我没有看到为图像文件禁用它有任何明显的缺点，但我只是想在这样做之前确定一下。

Answer 1

CSP 很好。来自 MDN:

https://developers.google.com/web/fundamentals/security/

Instead of blindly trusting everything that a server delivers, CSPdefines the Content-Security-Policy HTTP header, which allows you tocreate an allowlist of sources of trusted content, and instructs thebrowser to only execute or render resources from those sources.

如果您完全使用 CSP，那么您应该全面使用它们。是的，图像文件可能“不易受攻击”。但它们仍然可以成为“攻击媒介”。例如:https://hackerone.com/reports/964550

与其“禁用 CSP”，不如使用 img-src:

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/img-src

The HTTP Content-Security-Policy img-src directive specifies validsources of images and favicons.