CSP - worker-src blob 安全性

CSP - worker-src blob security

提问人:Tobias 提问时间:7/28/2020 更新时间:7/21/2021 访问量:7681

问:

在 CSP 中使用“blob”表示“worker-src”是否安全,或者是否存在安全缺陷?难道没有人通过从任何网站传递 blob 来启动工作线程吗?

内容-安全-策略

评论

6赞 sideshowbarker 7/28/2020
请参阅 w3.org/TR/CSP2/#source-list-guid-matching,其中指出:“允许 'blob: 或 ”filesystem:“ URL 等同于 unsafe-eval”。换句话说,这是不安全的。这就是为什么你需要显式指定 “blob:” 而不是 “self” 自动允许它的原因。其目的是,需要显式添加“blob:”的行为应该让你停下来考虑可能涉及的风险。有关进一步的上下文,请参阅 github.com/w3c/webappsec-csp/commit/...

答: 暂无答案