Content Security Policy 安全性與實用性平衡指南
Content Security Policy 安全性與實用性平衡指南前言Content Security Policy 是一個額外的安全層，用於檢測和減輕特定類型的攻擊，包括跨站腳本 (XSS) 和數據注入等。通過仔細配置 CSP，可以大幅降低網站被攻擊的風險。本指南旨在提供一個實務上的 CSP 配置方案，在確保網站安全性的同時，也顧及開發效率與維護性。此配置適用於大多數企業級網站專案，並提供與資安稽核單位溝通的建議。 基本配置方法1. 透過 HTTP Header 設定1Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://trusted-cdn.com; style-src 'self' 'unsafe-inline' https://trusted-cdn.com; img-src...