前端針對 XSS 安全配置

參考

• https://layui.dev/notes/share/security-currentscript.html
• https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CSP
• https://cloud.tencent.com/developer/article/2281491

起因

從 Layui 網站上看到 XSS 漏洞問題，瞭解到可以使用 CSP 防禦 XSS 攻擊方法

正文

還可以指定 report-to 策略指令，並提供至少一個 URI 地址去遞交報告。

1. HTML 標籤進行處理，如：

   <meta
     http-equiv="Content-Security-Policy"
     content="default-src 'self'; img-src https://*; child-src 'none';" />
   

2. HTTP 標頭，如：

   Content-Security-Policy: default-src 'self'