CSP style-src: 'unsafe-inline' - 值得吗？

Question

目前我在我的所有网站上都使用 Modernizr，事实证明，由于它的工作原理，它需要允许 unsafe-inline 样式。我已经不允许内联脚本和脚本的 unsafe-eval 了。想知道允许内联样式存在哪些安全风险？

Answer 1

允许内联样式会使您容易受到“其他 XSS”的影响。跨站点样式攻击。

这里的想法是，用户可以在您的文档中注入样式属性的任何地方，他们都可以按照他们想要的方式修改您的页面外观。我将列出几个按严重程度递增的潜在攻击：

1. 他们可以把你的页面变成粉红色，让它看起来很傻。
2. 他们可能会修改您页面的文字，使您看起来像是在说一些冒犯性的话，可能会冒犯您的读者群。
3. 他们可以使用户生成的内容（例如他们提供的链接）出现在人们希望看到用户内容的正常位置之外，从而使其看起来是官方的。 （例如，用他们自己的链接替换您网站上的“登录”按钮）。
4. 使用精心设计的样式规则，他们可以将页面上包含的任何信息发送到外部域，并以恶意方式公开或以其他方式使用这些数据来对付您的用户。

第四个示例，尽管有unsafe-inline，但可以完全防止信息泄露到外部域，前提是您确保您的其他 CSP 规则绝不允许任何类型的请求进入不受信任或通配符域。但是如果您错过在某处阻止样式属性，前 3 个总是可能的。

Mike West 几年前为 CSSConf 做了一个很好的 talk 以获取更多示例。