对于一个大的内容安全策略http头,您有任何推荐吗? 由于标头数据包大小限制,某些应用程序无法处理从大的内容安全性标头读取。 但是为了列出站点所需的域,需要为每个域使用字节。 您是否观察到了规范的这种限制,以及如何解决它?
对于一个大的内容安全策略http头,您有任何推荐吗? 由于标头数据包大小限制,某些应用程序无法处理从大的内容安全性标头读取。 但是为了列出站点所需的域,需要为每个域使用字节。 您是否观察到了规范的这种限制,以及如何解决它?
original-policy
字段被截断。上次观察到是在6年前。
要解决问题:
*
来白名单一组子域名(*.google.com)。img-src *
允许来自任何地方的图片,因为通过图片进行XSS攻击的可能性较小。script-src
指令中使用'strict-dynamic'
令牌,并从其中删除所有基于主机的来源,除了http: https:
。有关详细信息,请参见Google的strict CSP。