內容安全策略(Content Security Policy，簡稱 `CSP`)是一種工具，允許開發人員指定在透過 Web 瀏覽器訪問 Storefront 頁面時允許載入哪些位置和哪些型別的資源。

可以使用內容安全策略來鎖定店面應用程式，並降低內容注入漏洞的風險，例如跨站點指令碼 (XSS)、程式碼注入和點選劫持攻擊(`clickjacking`)，以及降低您的店面應用程式執行的許可權。

# Target Policy

指令可以使用 HTTP 響應標頭（伺服器可以傳送多個具有給定資源表示的 CSP HTTP 標頭欄位，並且伺服器可以傳送具有相同資源或不同資源的不同表示的不同 CSP 標頭欄位值）或 HTML Meta 標記，下面的 HTTP 標頭由規範定義：

- Content-Security-Policy ：由 W3C 規範定義為標準標頭，由 Chrome 25 及更高版本、Firefox 23 及更高版本、Opera 19 及更高版本使用。
- X-Content-Security-Policy ：Firefox 直到版本 23 和 Internet Explorer 版本 10（部分實現內容安全策略）使用。

- X-WebKit-CSP : Chrome 使用直到版本 25

default-src ：為所有資源型別定義載入策略，以防未定義資源型別專用指令（回退），
script-src ：定義受保護資源可以執行的指令碼，

csp 是一個 W3C 規範，提供了指示客戶端瀏覽器從哪個位置和/或允許載入哪種型別的資源的可能性。 為了定義載入行為，CSP 規範使用“指令”，其中指令定義目標資源型別的載入行為。

在 Content-Security-Policy 安全標頭中，可以指定定義目標資源型別的載入行為的指令。 以下是推薦的指令和相應的目標：

> default-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self'

支援的指令有：

- default-src ：為所有資源型別定義載入策略，以防未定義資源型別專用指令（回退），
- script-src ：定義受保護資源可以執行的指令碼。

# 在 Backoffice 裡的設定

除了 SAP Commerce Platform 提供的安全機制外，Backoffice Framework 還提供額外的安全功能來確保 Storefront 應用的安全性。

Backoffice Framework 中的安全標頭可以準確地告訴您的瀏覽器在處理您網站的內容和資料時的行為方式。

我們確保在 Backoffice Framework 應用程式上下文中應用安全標頭，例如，與 /backoffice/* 路徑一起應用。 來自 /backoffice/* 以外的資源的響應不一定具有這些標頭。 在與 Backoffice Framework 的網路通訊中，每個響應都有以下標頭：

- Header Content-Security-Policy (CSP): default-src 'self'; script-src 'self'' 'unsafe-inline' 'unsafe-eval'; connect-src 'self''; img-src 'self' data:; style-src 'self' 'unsafe-inline'; font-src 'self'', 設定要在網站上載入的內容的批准來源，支援例如影像、HTML 框架和音訊檔案。可以預防 XSS, code injection 和 clickjacking

- Header X-XSS-Protection：1; mode=block，當檢測到反射 XSS 時阻止頁面載入。 舊型別的瀏覽器最需要它。 值 1 啟用 XSS 過濾。 使用其他值時，頁面不會被清理。 新增值塊時，不會呈現頁面。 當設定值報告 `reporting URI` 時，頁面會被清理併傳送違規報告。可以預防 Compromising cookies, tokens, and XSS such as JavaScript Keylogger

- Header Strict-Transport-Security (HSTS)：max-age=31536000; includeSubDomains，自動將 http 連結轉為 https，當連線的安全性無法保證時，例如 TLS 證照不可信時，不允許使用者訪問 Web 應用程式並返回錯誤。可以預防 Protocol downgrade attacks, cookies hijacking.

- Header X-Frame-Options: SAMEORIGIN. DENY 設定不允許在任何地方顯示頁面，即使在同一頁面上也不允許。SAMEORIGIN 允許將頁面嵌入到提供該頁面的站點的框架中。可以預防 Clikjacking, and embedding a page into other pages.

可以透過更改 `project.properties` 檔案來覆蓋預設值，從而減少限制：

```sql
#security headers
backoffice.response.header.X-Frame-Options=SAMEORIGIN
backoffice.response.header.Strict-Transport-Security=max-age=31536000; includeSubDomains
backoffice.response.header.X-XSS-Protection=1; mode=block
backoffice.response.header.X-Content-Type-Options=nosniff
backoffice.response.header.Content-Security-Policy=default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; connect-src 'self'; img-src 'self' data: ; style-src 'self' 'unsafe-inline'; font-src 'self'
```

SAP 電商雲 Spartacus UI 裡的 Content Security Policy

相關文章