内容安全策略春季安全

Question

假设一个工作hello世界春季安全和弹簧mvc的例子。

当我需要使用Wireshark痕迹，我看到在HTTP请求

X-Content-Type-Options: nosniff 
X-XSS-Protection: 1; mode=block 
Cache-Control: no-cache, no-store, max-age=0, must-revalidate 
Pragma: no-cache 
Expires: 0 
Strict-Transport-Security: max-age=31536000 ; includeSubDomains 
X-Frame-Options: DENY 
Set-Cookie: JSESSIONID=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; Path=/; Secure; HttpOnly 

我想加入到我的头以下标志：

Content-Security-Policy: script-src 'self' 

我知道X- Frame-Options几乎完成了同样的工作，但仍然让我睡得更好。 现在，我想我需要做的是我的春天安全配置的配置作用下，但是我不知道究竟怎么了，即我想 .headers（）。something.something（个体经营）

@Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
//   .csrf().disable() 
//   .headers().disable() 
      .authorizeRequests() 
       .antMatchers( "/register", 
           "/static/**", 
           "/h2/**", 
           "/resources/**", 
          "/resources/static/css/**", 
           "/resources/static/img/**" , 
           "/resources/static/js/**", 
           "/resources/static/pdf/**"        
           ).permitAll() 
       .anyRequest().authenticated() 
       .and() 
      .formLogin() 
       .loginPage("/login") 
       .permitAll() 
       .and() 
      .logout() 
       .permitAll(); 
    } 

Answer 1

使用时只需将addHeaderWriter方法是这样的：

@EnableWebSecurity 
@Configuration 
public class WebSecurityConfig extends 
    WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
    http 
     // ... 
     .headers() 
     .addHeaderWriter(new StaticHeadersWriter("X-Content-Security-Policy","script-src 'self'")) 
     // ... 
    } 
} 

需要注意的是，只要你指定要包括的任何标题，那么只有那些标题将是包括。

要包括默认的标题，你可以这样做：

http 
    .headers() 
    .contentTypeOptions() 
    .xssProtection() 
    .cacheControl() 
    .httpStrictTransportSecurity() 
    .frameOptions() 
    .addHeaderWriter(new StaticHeadersWriter("X-Content-Security-Policy","script-src 'self'")) 
    // ... 

您可以参考spring security documentation。

Answer 2

虽然与StaticHeadersWriter作品的方式，在春季安全的最新版本，它可以使用特殊的方法：

headers() 
    .contentSecurityPolicy("script-src 'self'"); 

详细信息请参考文档：https://docs.spring.io/spring-security/site/docs/4.2.x/reference/html/headers.html#headers-csp-configure