Content-Security-Policy 标头是否仅适用于 text/html Content-Type？答案

【问题标题】：Is Content-Security-Policy header applicable only for text/html Content-Type?Content-Security-Policy 标头是否仅适用于 text/html Content-Type？
【发布时间】：2021-10-29 16:55:50
【问题描述】：

来自 OWASP 的网站 https://cheatsheetseries.owasp.org/cheatsheets/Content_Security_Policy_Cheat_Sheet.html:

从您的 Web 服务器发送 Content-Security-Policy HTTP 响应标头。

内容安全策略：...

使用标头是首选方式，它支持完整的 CSP 功能集。在所有 HTTP 响应中发送它，而不仅仅是索引页面。

我不明白这是怎么回事，因为可以通过在 HTML 中使用元标记来设置 Content-Security-Policy。我也看不出该政策如何适用于 HTML 页面之外的任何其他内容。

有谁知道为什么要做出上述声明，以及只为 text/html 响应发送 HTTP 标头 Content-Security-Policy 是否安全？

顺便说一句，策略太大了，我想发送的字节越少越好。

【问题讨论】：

标签： http http-headers content-security-policy http-protocols

【解决方案1】：

这仍然是没有正式规定的事情，对此仍有一些争论：https://github.com/w3c/webappsec/issues/520

这里通常有两个论点：

一方面，其他一些文件类型（XML、PDF，甚至可能是 SVG）可以从 CSP 中受益，并且任何资源都可以通过右键单击并在单独的选项卡中打开来变成页面。

另一方面，CSP 可以变得相当大，并且通常是为 HTML 页面编写的。所以发送其他资源有点浪费，而且大部分都不相关。

正确的答案（如上面所建议的）可能是为所有非 HTML 响应减少且非常严格的 CSP。

但我认为对于大多数人来说，仅在 HTML 上使用它就足够了，并且可以带来 CSP 的大部分好处。再说一次，CSP 是一种先进的技术，所以如果能做到这一点，那为什么不把它做好呢？

【讨论】：

这是一个很好的答案，我没有考虑 PDF 和 SVG，这是有道理的。正如你所建议的，除了text/html 之外，我可能会为所有其他内容类型选择非常简短和严格的 CSP

【解决方案2】：

使用标头是首选方式，并支持完整的 CSP 功能集。

我不明白这是怎么回事，因为可以通过在 HTML 中使用元标记来设置 Content-Security-Policy。

元标记内不支持指令：

report-to 和 report-uri
frame-ansectors
sandox

还有元标记不支持Content-Security-Policy-Report-Only 功能，只支持Content-Security-Policy。
在 HTML 代码中的 meta 标记之前开始加载的所有资源都不受 CSP 影响。恶意脚本可以作为<head> 部分的第一项在元标记之前注入
nonce-value 暴露在元标记中，因此可以很容易地被脚本窃取和重用。
使用元标记只能为 HTML 页面设置 CSP，但 CSP 应用于 XML 页面中的 XSLT 以及其他一些类型的内容（见下文）。

因此，HTTP 标头确实是传递 CSP 的首选方式，通过元标记使用 CSP 不允许您使用完整的 CSP 功能集。

在所有 HTTP 响应中发送它，不仅仅是索引页面。

我也看不出该政策如何适用于 HTML 页面之外的任何其他内容。

规范考虑的有点不同 - 您应该发送带有 HTML 内容的任何响应页面的 CSP，不仅针对200 OK，甚至针对404 Not found 403 Access Forbidden等
因为这些页面可以访问cookie，可以在CSP未覆盖的页面中窃取。

CSP 不仅适用于 HTML 页面，还适用于 XML 页面中的 XSLT，适用于工作人员的外部 javascripts 文件（在 Firefox 中）。此外，CSP HTTP 标头的 frame-ancestors 指令适用于任何打算嵌入 iframe 的内容（JPEG/GIF/PNG/PDF/MP4/等），请参阅细节here。

【讨论】：

我明白你关于元标签使用限制的观点，我知道这一点，但不需要额外的功能。