有没有办法为未知网址定义内容安全策略？

Question

我在一个购物网站上工作，我们正在使用第三方 package 来处理付款，当用户填写他的信用卡信息时，他们被重定向到 url，这是由 ZEFE90A8E603A7C840DB88D0 提供的。 在此之后问题开始了，具体取决于我们连接到不同银行的其他一些网址的信用卡。 由于我无法尝试所有信用卡将其地址添加到 csp，是否有另一种方法可以在这种情况下使用 csp？

Answer 1

您可以设置 Content-Security-Policy-Report-Only，并将 report-uri 或 report-to 指令设置为报告收集端点。 根据您的流量和可能选择的数量，您可能会在一段时间后了解其中的大部分内容。 这不会为您提供 100% 的 URL，并且主机可能会更改，但如果您想创建严格的 CSP，这是了解您应该允许的主机的好选择。