هدر Content Security Policy

این هدر مشخص می‌کنه مرورگر اجازه داره فایل‌های جاوااسکریپت، CSS، تصویر و بقیه منابع رو از چه جاهایی بارگذاری کنه. این کار باعث میشه حتی اگه یه مهاجم موفق بشه کد مخرب رو مثلا از طریق XSS داخل صفحه inject کنه، مرورگر در خیلی از مواقع اجازه اجرای اون کد رو نده.

برای فعال کردنش کافیه هدر CSP رو توی responseهای HTTP قرار بدید و مشخص کنید هر نوع منبع از کجا مجازه لود بشه. مثال (1)، قانون اول (default-src 'self') میگه به طور پیش‌فرض همه منابع فقط از همون دامنه‌ای که خود سایت روی اون اجرا شده (same origin) بارگذاری بشن، مگر اینکه برای نوع خاصی از منابع قانون جداگانه‌ای تعریف شده باشه. قانون دوم (script-src) میگه اسکریپت‌ها فقط از همون دامنه سایت ('self') یا از https://cdn.example.com مجاز به بارگذاری هستن.

فرض کنید سایت شما از https://cdn.example.com برای فایل‌های جاوااسکریپت استفاده می‌کنه. اگر مهاجم بتونه کد (2) رو داخل صفحه تزریق کنه، مرورگر قبل از دانلود فایل، CSP رو بررسی می‌کنه. چون evil.com داخل script-src قرار نداره، درخواست رو بلاک می‌کنه و اسکریپت اجرا نمیشه(3).

@techstuff100