Content Security Policy减少劫持

Content Security Policy减少劫持

什么是CSP？

CSP是由单词 Content Security Policy 的首单词组成，是HTML5带给我们的一套全新主动防御的体系，旨在减少(注意这里是减少而不是消灭)跨站脚本攻击。
CSP是一种由开发者定义的安全性政策性申明，通过CSP所约束的的规责指定可信的内容来源（这里的内容可以指脚本、图片、iframe、fton、style等等可能的远程的资源）。通过CSP协定，让WEB处于一个安全的运行环境中。

白名单

CSP定义了 Content-Security-Policy HTTP头来为你的内容创建一个来源的白名单。浏览器只允许白名单域里的资源和代码执行。这样就算攻击者找到了一个漏洞注入脚本，脚本不在白名单里面照样无法执行。
举例说明：
我们信任m.58.com的代码，我们可以这样定义我们的协议
Content-Security-Policy: script-src 'self' http://m.58.com
script-src控制script标签相关的策略，我们指定了'self'和http://m.58.com作为他的值，浏览器只会下载并执行本域和http://m.58.com的脚本。
更多指令介绍：

• connect-src
  限制使用XHR，WebSockets，和EventSource的连接源。

• font-src
  指定字体的下载源。

• frame-src
  指定frame可以嵌入的连接源。

• img-src
  指定图片的加载源。

• media-src
  指定video和audio的数据源。

• object-src
  指定Flash和其他插件的连接源。

• style-src
  指定link的连接源。和script-src类似。

默认如果你不指定这些指令的值，将允许所有的来源，例如 font-src:*和不写font-src是等价的。
当然你也可以重写默认值，只要使用default-src就可以。比如：指定了default-src:https://example.com 但是没有指定font-src，那么你的font-src也只能从https://example.com加载。在之前的例子中我们只指定了script-src，这说明我们可以从任何其他的地方加载image,font和其他资源。
你可以为你的web应用指定多个或者一个指令，只需要在HTTP头里面列出来这些值，不同的值之间用“；”来分隔。但是如果你写成 script-src https://host1.com;script-src:https://host2.com，那么第二个script-src将不起作用，正确的写法是：script-src https://host1.com https://host2.com 。
再举一个例子：如果你的静态资源全都来自一个CDN，并且你知道不会有frame和其他插件。你可以这样写
Content-Security-Policy:default-src https://cdn.example.net;frame-src 'none';object-src:'none'
关键词：

• 'none'
  什么都不匹配。

• 'self'
  匹配当前的域，不包括子域。

• 'unsafe-inline'
  允许inline JavaScript 和 CSS。

• 'unsafe-eval'
  允许 eval,new Function等的执行。

这几个关键词需要用单引号引用起来，如果不引用，则会被认为是域名。

详细内容参考：http://content-security-policy.com/

使用示例

使用CSP时,Web应用可以通过提供一个Content-Security-Policy HTTP头或一个META的HTML元素.不过这样的政策只在当前文档适用而已。
META使用示例：

<meta http-equiv="Content-Security-Policy" content="default-src *.tanx.com *.mmstat.com *.meituan.com https://i.meituan.com/ https://ms0.meituan.com https://mc0.meituan.com 192.168.4.223:9999 *.maoyan.com  *.meituan.net www.google-analytics.com wvjbscheme://* imeituan://* *.dianping.com *.dpfile.com 'self' 'unsafe-inline' 'unsafe-eval' blob: data:;">

chrome里查看页面用到哪些域名：

浏览器兼容性

CSP 目前有两版：CSP1和CSP2(有些指令是属于CSP2，比如：child-src、form-action等，详见http://content-security-policy.com/)。

两版的支持状态可以在http://caniuse.com/#search=csp
中查到。

参考资料：

http://www.zhihu.com/question/21979782
http://www.2cto.com/Article/201408/327064.html
https://imququ.com/post/content-security-policy-reference.html
https://segmentfault.com/a/1190000003852910
http://content-security-policy.com/