理解網站安全：Content Security Policy (CSP)的重要性及基本概念 – Content Security Policy (CSP)實作指南：前端工程師必讀的資訊安全手冊(三)

什麼是 Content Security Policy (CSP)

Content Security Policy (CSP) 是一種網頁安全標準，它旨在防止跨站腳本 (XSS)、點擊劫持和其他代碼注入攻擊。CSP 藉由限制哪些來源可以被網頁載入並執行，來增強網頁的安全性。這些來源包含腳本、圖片、樣式表、視頻等等。這就意味著，只有被明確設定為可信任的來源，才能在網頁中被載入。

CSP 的基本概念

CSP 透過設定特定的 HTTP 頭部（Header）來工作。開發者可以在 HTTP 頭部中定義一個或多個策略，這些策略描述了哪些來源是被信任的，可以被網頁載入。例如，一個簡單的 CSP 可能會指定只有來自同一個來源的腳本才能被執行，所有其他的腳本來源都會被阻擋。

瀏覽器在接收到含有 CSP 的 HTTP 頭部的頁面後，會按照這些規則來加載頁面內容。如果有內容嘗試從未被設定為信任的來源載入，瀏覽器會阻擋該內容並報告錯誤。

為何我們需要 CSP

現代網頁應用程序的複雜性大大增加了安全風險。跨站腳本 (XSS) 和其他代碼注入攻擊常常利用網站的漏洞，將惡意腳本注入到用戶的網頁中。一旦被注入，這些惡意腳本就能以用戶的身份進行操作，可能會導致資料洩露或者其他嚴重的後果。

CSP 提供了一種防禦這些攻擊的方法。通過限制哪些來源可以被載入並執行，CSP 幫助我們確保只有我們信任的內容可以出現在我們的網頁中。因此，即使有安全漏洞被攻擊者利用，攻擊者也無法注入非信任的內容。

除此之外，CSP 還能提供違規報告機制。如果有內容嘗試從非信任的來源載入，CSP 可以生成一份報告並送到開發者指定的地方。這能讓開發者快速了解到任何的違規嘗試，並採取適當的行動。