內容安全策略春季安全

Question

假設一個工作hello世界春季安全和彈簧mvc的例子。

當我需要使用Wireshark痕跡，我看到在HTTP請求

X-Content-Type-Options: nosniff 
X-XSS-Protection: 1; mode=block 
Cache-Control: no-cache, no-store, max-age=0, must-revalidate 
Pragma: no-cache 
Expires: 0 
Strict-Transport-Security: max-age=31536000 ; includeSubDomains 
X-Frame-Options: DENY 
Set-Cookie: JSESSIONID=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; Path=/; Secure; HttpOnly 

我想加入到我的頭以下標誌：

Content-Security-Policy: script-src 'self' 

我知道X- Frame-Options幾乎完成了同樣的工作，但仍然讓我睡得更好。 現在，我想我需要做的是我的春天安全配置的配置作用下，但是我不知道究竟怎麼了，即我想 .headers（）。something.something（個體經營）

@Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
//   .csrf().disable() 
//   .headers().disable() 
      .authorizeRequests() 
       .antMatchers( "/register", 
           "/static/**", 
           "/h2/**", 
           "/resources/**", 
          "/resources/static/css/**", 
           "/resources/static/img/**" , 
           "/resources/static/js/**", 
           "/resources/static/pdf/**"        
           ).permitAll() 
       .anyRequest().authenticated() 
       .and() 
      .formLogin() 
       .loginPage("/login") 
       .permitAll() 
       .and() 
      .logout() 
       .permitAll(); 
    } 

Answer 1

使用時只需將addHeaderWriter方法是這樣的：

@EnableWebSecurity 
@Configuration 
public class WebSecurityConfig extends 
    WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
    http 
     // ... 
     .headers() 
     .addHeaderWriter(new StaticHeadersWriter("X-Content-Security-Policy","script-src 'self'")) 
     // ... 
    } 
} 

需要注意的是，只要你指定要包括的任何標題，那麼只有那些標題將是包括。

要包括默認的標題，你可以這樣做：

http 
    .headers() 
    .contentTypeOptions() 
    .xssProtection() 
    .cacheControl() 
    .httpStrictTransportSecurity() 
    .frameOptions() 
    .addHeaderWriter(new StaticHeadersWriter("X-Content-Security-Policy","script-src 'self'")) 
    // ... 

您可以參考spring security documentation。

Answer 2

雖然與StaticHeadersWriter作品的方式，在春季安全的最新版本，它可以使用特殊的方法：

headers() 
    .contentSecurityPolicy("script-src 'self'"); 

詳細信息請參考文檔：https://docs.spring.io/spring-security/site/docs/4.2.x/reference/html/headers.html#headers-csp-configure