とはコンテンツセキュリティポリシー (CSP)？

コンテンツセキュリティポリシーは一つの HTTP 対応头，告诉ブラウザWebページ上許可する読み込むどの资源。それを通じて制限する脚本、スタイル、画像と其彼资源のソース来防止する跨站脚本攻撃 (XSS)、クリックする劫持と其彼コード注入攻撃。ない CSP，ブラウザできる読み込むページ中引用するの任意の资源，を含む攻撃者注入の悪意のある脚本。

レポートオンリーモードと強制モードの違い？

Content-Security-Policy-Report-Only 送信する违规報告しかし不阻止任意の资源，適合する安全テストする。Content-Security-Policy 強制実行するストラテジーかつ阻止违规。常にレポートオンリーモードから開始，识别ページ必要とするのすべての正当资源，それから再強制モードに切り替え。

CSP は入力検証を代替できるか？

できない。CSP は纵深防御层，できないの代わりに代入力検証と出力するエンコードする。あなた仍应清理すべての用户入力する、转义出力するかつ従う安全エンコードする实践。CSP 提供する额外の安全网，で発見する XSS 脆弱性时制限する损害，しかしそれ不应はあなた唯一の防线。

強制前に CSP をテストする方法？

使用 Content-Security-Policy-Report-Only で不破悪Webサイトの情况下テストするあなたのストラテジー。設定する report-uri エンドポイント来収集する违规報告。で十分な長の時間内（数天または数周）監視報告もって识别すべての正当资源。を通じてへストラテジー追加する必する必要があるのソース来修正任意の违规。一旦不再出现正当违规，切り替えるまで強制実行する头。

CSP はサイトを壊す可能性があるか？

はい，設定する不時にの CSP かもしれない阻止正当资源，をもたらす機能损悪、画像缺失、API 调用失敗と脚本不工作。これすぐにはなぜあなたすべき常に先用仅報告パターンテストする，それから段階的に收紧ストラテジー。'unsafe-inline' の使用または 'unsafe-eval' できる削弱保護する，しかしに対して遗留適用するかもしれないは必する必要があるの。

コンテンツセキュリティポリシー (CSP) ガイド：Webサイトの保護

跨站脚本攻撃 (XSS) まだは最も普遍的にの Web 脆弱性の一つ，継続的に位列 OWASP Top 10 の中で。にもかかわらず已あり数十年の安全意识，XSS 攻撃仍で危害Webサイト，なぜなら入力検証と出力するエンコードするなど传统防御手段かつ非万なし一失。コンテンツセキュリティポリシー (CSP) 提供するた強力の额外防御层，を通じて告诉ブラウザどの资源られる許可するでページ上読み込むと実行する。正しく設定する後，CSP できるを通じて阻止未認証する脚本の実行する来完全中と XSS 攻撃。このガイドではたから理解するディレクティブまで構築するとデプロイする生产すぐに绪ストラテジーのすべての内容。

とはコンテンツセキュリティポリシー？

コンテンツセキュリティポリシーは一つの HTTP 対応头（または meta タグ），許可するWebサイト运营者声明ブラウザできる読み込むの已承認する内容ソース。それとして白名単実行する：任意の未られるストラテジー明確に許可するの资源すべてできるられる阻止。これ種類机制防止する攻撃者へあなたのページ注入悪意のある脚本、スタイルまたは其彼资源，たとえ〜でも彼ら見つけるたで適用する中挿入する HTML の方法。