將 Content-Security-Policy 標頭添加到 Javascript 資源是否有好處？

Question

一個自動掃描工具正在標記這樣一個事實，即我們的 Javascript 包沒有返回一個 Content-Security-Policy 標頭，即使文檔本身有標頭。

我的理解是 Content-Security-Policy 標頭控制文檔中資源的加載。 當它添加到資源本身時，它是否提供任何好處？

Answer 1

簡短的回答通常是否定的。

長答案是你需要正確設置你的內容類型。 有一種情況，如果您沒有正確設置內容類型，它會導致問題，除非 js 文件不是靜態的，在后台呈現。 如果攻擊者可以找到動態 JS 文件的第一個字節，他們就可以將這些文件上下文作為 HTML 運行。 因此，如果您不使用動態 JS 文件或這些文件不允許操作第一個字節。 您不需要設置 CSP 策略。