用 CSP 替换 X-Frame-Options

Question

我正在从 X-Frame-Options 迁移到内容安全策略以修复点击劫持漏洞。我的应用程序曾经SAMEORIGIN在 hteX-Frame-Options标头中设置策略。中的等效选项是Content-Security-Policy什么？

Answer 1

X-Frame-Options: SAMEORIGIN ? Content-Security-Policy: frame-ancestors 'self'

MDN CSP: frame-ancestors文章有更多细节。

https://w3c.github.io/webappsec-csp/#frame-ancestors-and-frame-options说：

该指令类似于X-Frame-Options多个用户代理已实现的标头。' none' 源表达式大致相当于该标头的DENY, ' self' 到SAMEORIGIN等。