代码之家 › 专栏 › 技术社区 › user779159

为功能策略HTTP头设置默认值

content-security-policy http-headers header browser http

2

user779159 · 技术社区 · 6 年前

对于HTTP Feature-Policy 标题您可以设置中提到的功能 https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Feature-Policy 个别地。但是我如何设置默认值呢?

你可以帮我 Content-Security-Policy 通过设置 default-src ,是否有相应的 功能策略 ?

这将比单独设置众多功能中的每一个更方便,尤其是因为在添加新功能时,您必须保持该列表的最新状态。

1 回复 | 直到 6 年前

1

Andrew 6 年前

这里对这个问题进行了积极的讨论:

总结github线程,这是使用 default 策略是指您可能正在使用一个功能,该功能后来会受制于策略。然后,你的网站就会崩溃,因此,浏览器供应商要么不提供新功能,要么不愿意让它受制于一项政策,而功能政策作为一个概念将一事无成。

有许多可能的解决方案:

制作 违约 不仅仅是指所有现有的政策,而是指 每件事 这可能会受到一项政策的约束,就是把网撒得太宽。这将禁用几乎所有的DOM、浏览器和网络API。但你可能会想使用一些这样的东西,这使得指令变得毫无用处。
不要实施 违约 但要添加一些不变的“捆绑”策略。当您采用捆绑包时,您知道它包含什么,这不会改变,但随着新策略的引入,我们可以创建新的更大、更严格的捆绑包,而不会破坏采用以前捆绑包的站点。这是 my suggestion