我應該使用Content-Security-Policy HTTP頭作爲後端API嗎？

我們在後端API上實現HSTS，並偶然發現了內容安全策略（CSP）頭。該標題告訴瀏覽器從圖像，視頻，樣式表，腳本等資源的哪個位置可以下載。我應該使用Content-Security-Policy HTTP頭作爲後端API嗎？

由於後端API不會真正在瀏覽器中顯示內容，因此設置此標頭的價值是什麼？

2017-08-11 Jim Aho

沒有用處。你爲什麼想添加這個頭文件？ API是_private_，它永遠不會通過瀏覽器訪問。 –

因爲我正在閱讀這個任務，這是有人寫的。既然聽起來很奇怪，我只想確認一下。 –

是一種技巧，旨在損害xss攻擊。也就是說，它與服務超媒體相結合是最有用的，它依賴於其他資源的加載。這不完全是我期望使用API的場景。這並不是說你不能使用它。如果真的有在您的答覆沒有互動的內容，沒有什麼可以從服務這個頭抱住你：

Content-Security-Policy: default-src 'none';

往前一步，你能使用CSP作爲某種臨時Intrusion Detection System通過爲了在設置report-uri到取incoming violation reports。這在預期的使用範圍內，但仍然有點便宜。

總之，理論上可以通過很少的努力來提高API的安全性。實際上，這些優勢可能是微不足道的。如果你覺得喜歡，發送這個頭文件應該沒有什麼壞處。你可能會獲得更多的收益。 suppressing MIME-type sniffing，但。

2017-08-11 09:11:23 DaSourcerer

回答