實作 AMP 的 CSP

免於第三方攻擊

採取措施以保護您的網站和使用者免受網路安全漏洞的侵害。其中最陰險的一種是跨網站指令碼 (XSS)。XSS 是一種安全漏洞，可能允許攻擊者將惡意程式碼注入到顯示給使用者的 HTML 頁面中。

透過採用內容安全策略 (CSP)來防禦這些類型的攻擊。像 Google AMP 快取這樣的 AMP 快取已經將 CSP 新增到您的頁面中！但是，當使用者規避快取版本時，如果沒有新增您自己的 CSP，頁面就會缺少這層額外的保護。

實作 AMP 的 CSP

透過將適當的 meta 標籤新增到頁面的 head 中來實作 CSP。以下是 AMP 的 CSP，僅允許將 AMP 指令碼注入到您的頁面中

<meta
  http-equiv="Content-Security-Policy"
  content="default-src * data: blob:; script-src blob: https://cdn.ampproject.org/v0.js https://cdn.ampproject.org/v0/ https://cdn.ampproject.org/viewer/ https://cdn.ampproject.org/rtv/; object-src 'none'; style-src 'unsafe-inline' https://cdn.ampproject.org/rtv/ https://cdn.materialdesignicons.com https://cloud.typography.com https://fast.fonts.net https://fonts.googleapis.com https://maxcdn.bootstrapcdn.com https://p.typekit.net https://use.fontawesome.com https://use.typekit.net; report-uri https://csp-collector.appspot.com/csp/amp"
/>

您可以在這裡查看完整範例.

在此處深入瞭解保護免受安全漏洞侵害和 CSP。

作者： @CrystalOnScript