如何禁用内容安全策略并保持安全？ [关闭]

Question

我想禁用 CSP - app.use(helmet.contentSecurityPolicy())，因为它会阻止任何内联脚本。 hash 和 nonce 解决方案 (https://content-security-policy.com/examples/allow-inline-script/) 对我的应用来说太过分了。 xss-clean package 或其他解决方案是否足以获得常规-中等安全性？

谢谢:)

Answer 1

您可以使用您提到的helmet 中间件完全控制。

reference docs 很清楚如何设置您的 CSP。

设置后，您始终可以使用 this one 等验证器评估您的 CSP 的强度。

来自文档：

如果没有提供指令，则设置以下策略（添加空格以提高可读性）：

default-src 'self';
base-uri 'self';
block-all-mixed-content;
font-src 'self' https: data:;
frame-ancestors 'self';
img-src 'self' data:;
object-src 'none';
script-src 'self';
script-src-attr 'none';
style-src 'self' https: 'unsafe-inline';
upgrade-insecure-requests

您可以按照文档中的说明在加载“helmet”时设置策略。

例如，这里是一个示例配置：

// Sets "Content-Security-Policy: default-src 'self';script-src 'self' example.com;object-src 'none';upgrade-insecure-requests"
app.use(
  helmet.contentSecurityPolicy({
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "example.com"],
      objectSrc: ["'none'"],
      upgradeInsecureRequests: [],
    },
  })
);