时间戳

首页 > 解决方案 > 内容安全策略“框架祖先”指令在元素中不起作用

content-security-policy - 内容安全策略“框架祖先”指令在元素中不起作用

问题描述

作为点击劫持的一部分，我们正在尝试将 CSP 标头作为元标记添加到我们的 Angular 项目中。下面是html

<!doctype html>
<html lang="en">
<head>
  <meta http-equiv="Content-Security-Policy" content="frame-ancestors 'self'">
  <meta charset="utf-8">
  <title>QA Eval Webapp</title>
  <base href="/">

  <meta name="viewport" content="width=device-width, initial-scale=1">
  <link rel="icon" type="image/x-icon" href="favicon.ico">
</head>
<body>
  <app-root></app-root>
</body>
</html>

但是，当我们尝试将页面加载为 iframe 时，它​​会加载。我们已经在谷歌浏览器中进行了测试。

为了解决这个问题，我们构建了 Angular 项目，将 dist 下的文件移动到 Web 应用程序，添加了一个过滤器以将 CSP 标头添加到每个请求的响应中。下面是代码

package com.web.beginner;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletResponse;

@WebFilter(urlPatterns="/*", filterName = "cspfilter")
public class CSPFilter implements Filter {

    @Override
    public void destroy() {
        // TODO Auto-generated method stub

    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.setHeader("Content-Security-Policy", "frame-ancestors 'self'");
        chain.doFilter(request, response);
    }

    @Override
    public void init(FilterConfig arg0) throws ServletException {
        // TODO Auto-generated method stub

    }

}

这行得通。

为什么在元标记中添加 CSP 标头不起作用？我什至检查了https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy，他们提到在元标记中添加 CSP。

我知道 X-FRAME-OPTIONS 不支持 html 元标记。Content-Security-Policy 也一样吗？还是 chrome 忽略了元标记中的 CSP？

标签： content-security-policyclickjacking

解决方案

推荐阅读