每個頁面的內容安全策略（CSP）？

Question

我明白使用CSP的好處，但發送除HTML文件以外的任何其他頭文件是否浪費？例如，我需要在圖像上發送CSP頭嗎？對於.js文件？

Answer 1

Content-Security-Policy標頭只對HTML頁面有意義。

對圖像或其他資源有意義的安全頭將是Access-Control-Allow-Origin。但這是默認限制，所以你不需要做任何事情。