security - 使用内容安全策略 (CSP) 的真正意义是什么？

Question

我已经阅读了所有官方动机，为什么它是自切片面包以来最好的东西，但实际上，如果它可以被浏览器扩展、浏览器设置甚至浏览器默认设置/配置/功能/属性或代理禁用和/或更改?

如果有人真的想定位您的网站，他们为什么不禁用它或使用自定义方式连接到您的网站？

很抱歉这不是一个特定的代码问题。我更想知道为什么一个人甚至应该首先为实现这一点而烦恼？上帝知道语法不是微不足道的，并且严重缺乏功能，让您在允许危险行为或限制站点功能之间做出选择，而无法以安全的方式保留功能。

标签： securitycontent-security-policy

Answer 1

如果有人真的想定位您的网站，他们为什么不禁用它或使用自定义方式连接到您的网站？

他们可能会，但这不是 CSP 所保护的。

很多网站黑客都是这样的：Bad Guy hacks site。Innocent Victim 访问站点，并被 Bad Guy 的有效载荷击中。在这种情况下，CSP 致力于保护受害者，而不是防止坏人进入。（其他安全措施负责最初的攻击。）

另请注意，如果您从第三方网站（例如 PayPal 或 Google）获取功能，“受害者”可能是您的网站，因为如果其中一个人被黑客入侵，您网站上的 CSP 可能会说“嘿，这是不允许的”。几个月前，一家服务提供商（忘记了谁）发生了一次大黑客攻击，攻击了大量网站，因为他们都在从那个网站提取代码。客户站点本可以通过一行 CSP 来防止其客户受害，该 CSP 将识别出供应商代码无效