代码之家 › 专栏 › 技术社区 › user779159

为功能策略HTTP头设置默认值

content-security-policy http-headers header browser http

user779159 · 技术社区 · 7 年前

对于HTTP Feature-Policy 标题您可以设置中提到的功能 https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Feature-Policy 个别地。但是我如何设置默认值呢?

你可以帮我 Content-Security-Policy 通过设置 default-src ,是否有相应的 功能策略 ?

这将比单独设置众多功能中的每一个更方便,尤其是因为在添加新功能时,您必须保持该列表的最新状态。

1 回复 | 直到 7 年前

Andrew 7 年前

这里对这个问题进行了积极的讨论:

总结github线程,这是使用 default 策略是指您可能正在使用一个功能,该功能后来会受制于策略。然后,你的网站就会崩溃,因此,浏览器供应商要么不提供新功能,要么不愿意让它受制于一项政策,而功能政策作为一个概念将一事无成。

有许多可能的解决方案:

制作 违约 不仅仅是指所有现有的政策,而是指 每件事 这可能会受到一项政策的约束,就是把网撒得太宽。这将禁用几乎所有的DOM、浏览器和网络API。但你可能会想使用一些这样的东西,这使得指令变得毫无用处。
不要实施 违约 但要添加一些不变的“捆绑”策略。当您采用捆绑包时,您知道它包含什么,这不会改变,但随着新策略的引入,我们可以创建新的更大、更严格的捆绑包,而不会破坏采用以前捆绑包的站点。这是 my suggestion

推荐文章

DiscreteTom · JavaScript structuredClone在Chrome/Edge中获得了“非法调用”,但在NodeJS中没有

2 年前

Ish Mahajan · WebTransport的浏览器兼容性

2 年前

Lixin Wei · 为什么WebRTC可以在未经我许可的情况下获取我的本地IPv6地址?

2 年前

Václav Procházka · 动态创建获取和解析脚本的顺序

2 年前

jani · 检查安装了哪些浏览器,然后在其桌面上创建快捷方式

3 年前

Italy Zia · 我收到一个“拒绝执行来自的脚本”http://localhost:3000/js/dashboard/dashboard.js',因为其MIME类型('text/plain')不可执行

3 年前

kakakali · 为什么appendChild()会丢失一些子项?

3 年前

Djaro · 人们在我的标签上按下shift,但在另一个标签上释放它。如何防止Ctrl+Shift+Tab破坏我的“Shift_pressed”变量?

3 年前

StuartN · 使用默认搜索引擎的HTML搜索链接

3 年前

Vindicated · 如何访问当前未连接到的URL的本地存储?

3 年前