Mar*_*tin 4 content-security-policy
如果Content-Security-Policy标头中的每个服务器响应(图片,CSS,JS,...),或仅在text/html的格式(.html或PHP脚本的HTML输出)？
Content-Security-Policy
Bar*_*ard 6
由于CSP是客户端保护并且仅由浏览器处理HTML文档(无论是静态还是由PHP等动态创建),因此不需要在除text/html文档之外的任何内容上使用此标头.
实际上,由于CSP策略可能非常大,因此只需在HTML文档响应中提供它就可以节省带宽.
目前唯一的例外是网络工作者.但是,如果您不使用它们,那么您现在可以忽略它们.
请注意当前的CSP草案规范在目标部分中说CSP用于控制:
可以代表特定文档或工作人员请求(并随后嵌入或执行)的资源
归档时间：
9 年，4 月 前
查看次数：
98 次
最近记录：