Content Security Policy 是一種使用標題或 meta 元素來限制或批准載入到指定網站上的內容的策略。 這是一個廣受支援的安全標準，所有網站運營者都應該對這些標準瞭然於心。

使用 CSP 透過說明允許或不允許的規則為 Web 網站增加了一層保護。 這些規則有助於防禦內容注入和跨站點指令碼 (XSS) 攻擊，這是 OWASP 的十大 Web 應用程式安全風險中的兩個。

當攻擊者能夠透過注入惡意程式碼來破壞未受保護的網站時，就會發生 XSS 攻擊。 當使用者嘗試與站點互動時，惡意指令碼會在使用者的瀏覽器中執行，從而使攻擊者能夠訪問受害者與站點的互動，例如登入資訊等。

CSP 將阻止大多數指令碼注入攻擊的發生，因為它可以設定為將 JavaScript 限制為僅從受信任的位置載入。

本文介紹一些基於 `frame-src` 這個 Directive 的各種測試用例。
作為容器，定義 iframe 的 web 應用，監聽在 3000 埠：wechat 資料夾下

![](https://img-blog.csdnimg.cn/img_convert/6ffab77dc9e4122c5f5e20b1b9fb9be0.png)

嵌入了另一個網頁，監聽在 3002 埠，Jerrylist 資料夾下面：

![](https://img-blog.csdnimg.cn/img_convert/21a61a8291c0e41e37291b543f84b0ad.png)

如果 Jerrylist 資料夾下的 csp html 裡沒有宣告任何 csp 相關的 Directive(透過 meta 標籤)，則 iframe 工作正常：

![](https://img-blog.csdnimg.cn/img_convert/2f322f4d2aedfce33a4adf6faba0efa3.png)

# 測試1：3000 應用(即嵌入 3002 應用的 web 應用裡）增加 frame-src

原始碼：

```html

```

![](https://img-blog.csdnimg.cn/img_convert/1e3c6b5c959694a3e96cc18ab905459f.png)

測試結果：

> Refused to frame 'http://localhost:3002/' because it violates the following Content Security Policy directive: "frame-src 'self'".

iframe 載入失敗：
![](https://img-blog.csdnimg.cn/img_convert/6ff52730fa4650e35790bd2865695cfd.png)

# 測試2

![](https://img-blog.csdnimg.cn/img_convert/91c123decf3430aecbaffd7ca382d456.png)

```html

```

錯誤訊息：

> The source list for the Content Security Policy directive 'frame-src' contains an invalid source: ''http://localhost:3002''. It will be ignored.
11:25:37.549 localhost/:6 Refused to frame 'http://localhost:3002/' because it violates the following Content Security Policy directive: "frame-src 'none'".

iframe 載入失敗：

![](https://img-blog.csdnimg.cn/img_convert/27ceffd89e07fbded3e8529356980793.png)

改成 `*` 的話，又重新工作了：
![](https://img-blog.csdnimg.cn/img_convert/da53900586fc4be7cdc4677972b2b65d.png)

![](https://img-blog.csdnimg.cn/img_convert/93679cd06ffc32e6122c4cc987d44884.png)

下列程式碼也工作：

![](https://img-blog.csdnimg.cn/img_convert/23216df47fd612978ed975037f9c179e.png)

```html

```

下列程式碼也工作：

```html

```

![](https://img-blog.csdnimg.cn/img_convert/a07316ce0b492273aec81bafb36d2ea1.png)

![](https://img-blog.csdnimg.cn/img_convert/0e73f8b4a50b38316e4c62d58703de67.png)

下列程式碼也工作：
![](https://img-blog.csdnimg.cn/img_convert/1970581c64a8d5f909ff6e54f01e6812.png)

關於 Web Content-Security-Policy Directive 透過 meta 元素指定的一些測試用例

相關文章