高级Web安全：超越基础

高级Web安全：超越基础

一旦你掌握了Web安全的基础知识——使用HTTPS、密码哈希、输入验证——还有更高级的工具可以保护你的网站免受复杂攻击。现代浏览器提供了强大的安全功能，如果配置正确，可以防止整类攻击。

内容安全策略：您最强大的防御

内容安全策略（CSP）是防御跨站脚本（XSS）攻击最有效的方法。它的工作原理是告诉浏览器允许在你的页面上加载哪些内容来源。你可以指定哪些域可以提供脚本、样式、图像、字体和其他资源。

使用CSP，即使攻击者设法将脚本标签注入到你的页面中，如果它来自未经允许的来源，浏览器也会拒绝加载它。你还可以完全阻止内联脚本，禁止使用eval()，并限制表单的提交位置。CSP通过Content-Security-Policy HTTP标头进行配置，正确设置需要一些努力，但这是值得的。

跨源资源共享（CORS）

CORS控制其他哪些网站可以访问你的API。默认情况下，浏览器会阻止一个域中的JavaScript向另一个域发出请求。CORS标头允许你选择性地允许特定来源访问你的资源。这对于任何需要从不同域调用的API都至关重要。

仔细配置CORS——只允许需要访问的特定来源。切勿在凭据中使用通配符（*）。使用Access-Control-Allow-Origin标头精确指定允许的域，并在服务器端验证Origin标头。

跨源隔离

跨源打开者策略（COOP）和跨源嵌入者策略（COEP）是两个协同工作的标头，用于将你的网站与其他来源隔离。启用后，它们可以防止像Spectre这样的跨源攻击，并启用SharedArrayBuffer和高分辨率计时器等强大功能。

代价是COEP要求页面加载的所有资源要么是同源的，要么明确标记为跨源可访问。这可能会破坏第三方脚本和小部件。这是一个强大的功能，但需要仔细实施。

子资源完整性

当你从CDN加载脚本或样式表时，你怎么知道它没有被篡改？子资源完整性（SRI）允许你在HTML标签中包含文件的加密哈希。浏览器下载文件，计算其哈希值，并且只有在哈希匹配时才执行它。这可以防止CDN泄露和供应链攻击。

供应链安全

现代Web应用程序依赖于数以百计的依赖项。每一个都是潜在的攻击向量。使用package-lock.json或yarn.lock锁定依赖项版本。使用npm audit或Snyk、Dependabot等工具定期审计依赖项。使用GPG或SSH签署你的提交。并尽量减少使用依赖项的数量——你添加的每个库都是你信任的代码。

综合应用

从基础开始：全站HTTPS、适当的身份验证、输入验证。然后添加CSP以防止XSS，添加CORS以控制API访问，添加HSTS以强制HTTPS。对CDN资源使用SRI。设置Permissions-Policy以禁用不需要的功能。保持依赖项更新。安全是一个过程，而不是一个目的地——它需要持续的关注和维护。