Εφαρμογή Content Security Policy με αναφορές παραβιάσεων — DedSec Project
Εφαρμογή Content Security Policy με αναφορές παραβιάσεων Μηχανισμός και συμβόλαιο Η Content Security Policy δηλώνει στον browser ποιες πηγές πόρων και εκτέλεσης επιτρέπονται. Συμπληρώνει…
Μηχανισμός και συμβόλαιο
Η Content Security Policy δηλώνει στον browser ποιες πηγές πόρων και εκτέλεσης επιτρέπονται. Συμπληρώνει σωστή κωδικοποίηση εξόδου, χωρίς να διορθώνει επισφαλή εισαγωγή HTML. Μια αντιγραμμένη αυστηρή πολιτική μπορεί να καταστρέψει scripts, γραμματοσειρές ή πολυμέσα χωρίς να εξηγήσει την πραγματική εξάρτηση.
Κατάγραψε πρώτα είδη πόρων και δοκίμασε κεφαλίδα report-only σε ελεγχόμενη εγκατάσταση. Εξέτασε παραβιάσεις, αφαίρεσε ακούσια inline εκτέλεση και περιόρισε κάθε οδηγία. Ένας στατικός host μπορεί να υποστηρίζει κεφαλίδες μέσω ρυθμίσεων· η πολιτική HTML meta έχει περιορισμούς και δεν αντικαθιστά όλες τις οδηγίες κεφαλίδων. Το παράδειγμα είναι σχέδιο κεφαλίδας για μικρή αυτοφιλοξενούμενη σελίδα, όχι εντολή τερματικού.
Τοπικό παράδειγμα
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; object-src 'none'; base-uri 'self'; frame-ancestors 'none'
# Configure a suitable reporting endpoint separately when supported.
# Move to Content-Security-Policy only after testing actual page behavior.
Έλεγχοι αποτυχίας και όρια
Δοκίμασε αλλαγή θέματος και γλώσσας, συνδέσμους μαθημάτων, πληκτρολόγιο και αντιγραφή υπό την υποψήφια πολιτική. Το report-only δεν μπλοκάρει, άρα η σωστή εικόνα δεν αποδεικνύει επιβολή. Οι αναφορές μπορεί να περιέχουν ευαίσθητα URL· περιόρισε συλλογή και διατήρηση. Μην προσθέτεις unsafe-inline ή wildcard μόνο για να εξαφανίσεις αναφορές χωρίς κατανόηση πηγής.