内容安全策略

我们已经找到了内容安全策略当处理从混合上下文拉资产的网站时，对我们的安全工具箱是一个有用的补充。该策略定义了一组关于资产来源(以及是否允许内联脚本标记)的规则。然后浏览器就会拒绝加载或执行违反这些规则的JavaScript、CSS或图像。当与输出编码等良好实践一起使用时，它可以很好地缓解XSS攻击。有趣的是，发布违规JSON报告的可选端点是Twitter发现isp在其页面中注入HTML或JavaScript的方式。