Правильно ли я использую X-Content-Security-Policy?
Я пытаюсь использовать мою Content-Security-Policy для Internet Explorer
Вот Content-Security-Policy, который у меня есть:
<meta http-equiv = "Content-Security-Policy" content = "default-src 'self'">
Это то, что я добавил для X-Content-Security-Policy
<meta http-equiv = "X-Content-Security-Policy" content = "default-src 'self'">
Я вижу множество предупреждений о встроенных стилях (и других), когда открываю документ с помощью MS Edge, Firefox или Chrome. Но я ничего не вижу в IE. И я все еще могу запускать скрипты на странице в IE, чего я не могу (и хочу предотвратить) в других браузерах, о которых я упоминал.
Поэтому я задаюсь вопросом: правильно ли я использую метатег X-Content-Security-Policy? Если нет, то как мне исправить свой тег? А также, где я могу найти документацию по X-Content-Security-Policy? Я искал в X-Content-Security-Policy... ничего не нашел. Вещи, которые появляются, относятся к Content-Security-Policy
<!DOCTYPE html><html xmlns = "http://www.w3.org/1999/xhtml"><head>
<meta http-equiv = "X-Content-Security-Policy" content = "default-src 'self'"><meta http-equiv = "Content-Security-Policy" content = "default-src 'self'">
<script src = "./jquery-3.3.1.min.js" type = "text/javascript"></script>
<script>
alert('boo');
</script>
</head>
<body>
Hello World
</body>
</html>
Ответы 1
CSP только частично поддерживается в IE10-11. Вы можете видеть в совместимость с браузером, что он не поддерживает элемент <meta> в IE. И частичная поддержка означает, что он поддерживает только директиву «песочница» с использованием заголовка X-Content-Security-Policy. Для получения более подробной информации вы также можете проверить эта тема.
Спасибо, ваш ответ и ссылка очень информативны