CSP安全开发的服务器端实现

2023-10-10 23:48:22

服务器端内容安全策略 (CSP)：提高 Web 应用程序的安全性

概述

内容安全策略 (CSP) 是一种强大的安全机制，可以有效防范跨站点脚本 (XSS) 攻击和其他类型的恶意活动。通过限制可加载的资源，CSP 在保护 Web 应用程序方面发挥着至关重要的作用。本文将重点探讨服务器端 CSP 实现，帮助您了解其工作原理和如何有效地集成到应用程序中。

CSP 的工作原理

CSP 通过在 HTTP 响应头中添加规则列表来发挥作用，这些规则定义了允许从特定来源加载哪些资源。指令（如 script-src、style-src 和 img-src）用于指定哪些源可以提供脚本、样式表和图像。

例如，以下 CSP 头部允许从 example.com 和 trusted-cdn.net 加载脚本：

Content-Security-Policy: script-src example.com trusted-cdn.net

如果浏览器遇到不符合 CSP 规则的资源（例如来自未授权源的脚本），它将阻止加载该资源并显示错误消息。

服务器端 CSP 实现

服务器端 CSP 实现涉及在生成 HTTP 响应时动态添加 CSP 头部。根据使用的服务器技术，有不同的方法可以实现这一目标。

Node.js

const helmet = require('helmet');
app.use(helmet.contentSecurityPolicy({
  directives: {
    scriptSrc: ["'self'", "trusted-cdn.net"],
    styleSrc: ["'self'", "trusted-cdn.net"],
    imgSrc: ["'self'", "trusted-image-provider.com"],
  }
}));

Java

import javax.servlet.*;
import javax.servlet.http.HttpServletResponse;

public class CspFilter implements Filter {
  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletResponse res = (HttpServletResponse) response;
    res.setHeader("Content-Security-Policy", "script-src 'self' trusted-cdn.net");
    chain.doFilter(request, res);
  }
}

ASP.NET Core

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddResponseCaching();
    }

    public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
    {
        app.UseResponseCaching();
        app.Use(async (context, next) =>
        {
            var headers = context.Features.Get<ISecurityHeadersFeature>();
            headers.ContentSecurityPolicy = "script-src 'self' trusted-cdn.net";
            await next();
        });
    }
}