将 Content-Security-Policy 标头添加到 Javascript 资源是否有好处？

Question

一个自动扫描工具正在标记这样一个事实，即我们的 Javascript 包没有返回一个 Content-Security-Policy 标头，即使文档本身有标头。

我的理解是 Content-Security-Policy 标头控制文档中资源的加载。 当它添加到资源本身时，它是否提供任何好处？

Answer 1

简短的回答通常是否定的。

长答案是你需要正确设置你的内容类型。 有一种情况，如果您没有正确设置内容类型，它会导致问题，除非 js 文件不是静态的，在后台呈现。 如果攻击者可以找到动态 JS 文件的第一个字节，他们就可以将这些文件上下文作为 HTML 运行。 因此，如果您不使用动态 JS 文件或这些文件不允许操作第一个字节。 您不需要设置 CSP 策略。