如何使用元標記放寬內容安全策略

Question

我正在嘗試使用某些頁面的特定元標記覆蓋內容安全策略。

我已經嘗試了幾個小時，但我還沒有成功。

有沒有辦法在不必修改服務器配置的情況下從頁面本身（使用JavaScript或元標記）覆蓋CSP？

謝謝。

Answer 1

沒有。

出於安全原因，元標記只能使策略更嚴格，而不是放寬標頭中定義的策略。

如果元標記可以放松政策，CSP就沒有牙齒了。 任何惡意方都可以添加元標記來禁用策略並避免應該具備的所有限制。

Answer 2

你可以收緊 CSP，但不要放松它。 您可以重新配置站點以在生成頁面的代碼中收緊/放松CSP。 例如，在PHP中，您可以創建標題，但稍后會覆蓋標題 - 只要您在實際輸出到瀏覽器之前執行此操作。

這就是我在我管理的網站上所做的事情 - 每個頁面都有一個相當嚴格的默認CSP標題，但在特定頁面上我可能會放松它以允許特定於該頁面的內容。 但是你必須在生成頁面本身時這樣做; 在發送初始CSP標頭后，您無法使用Meta標簽或JavaScript。