我应该使用Content-Security-Policy HTTP头作为后端API吗？

我们在后端API上实现HSTS，并偶然发现了内容安全策略（CSP）头。该标题告诉浏览器从图像，视频，样式表，脚本等资源的哪个位置可以下载。我应该使用Content-Security-Policy HTTP头作为后端API吗？

由于后端API不会真正在浏览器中显示内容，因此设置此标头的价值是什么？

2017-08-11 Jim Aho

没有用处。你为什么想添加这个头文件？ API是_private_，它永远不会通过浏览器访问。 –

因为我正在阅读这个任务，这是有人写的。既然听起来很奇怪，我只想确认一下。 –

是一种技巧，旨在损害xss攻击。也就是说，它与服务超媒体相结合是最有用的，它依赖于其他资源的加载。这不完全是我期望使用API的场景。这并不是说你不能使用它。如果真的有在您的答复没有互动的内容，没有什么可以从服务这个头抱住你：

Content-Security-Policy: default-src 'none';

往前一步，你能使用CSP作为某种临时Intrusion Detection System通过为了在设置report-uri到取incoming violation reports。这在预期的使用范围内，但仍然有点便宜。

总之，理论上可以通过很少的努力来提高API的安全性。实际上，这些优势可能是微不足道的。如果你觉得喜欢，发送这个头文件应该没有什么坏处。你可能会获得更多的收益。 suppressing MIME-type sniffing，但。

2017-08-11 09:11:23 DaSourcerer

回答