Tại sao việc sử dụng Content Security Policy (CSP) lại là giải pháp phòng thủ chuyên sâu quan trọng để ngăn chặn tấn công XSS?

Question

Accepted Answer

Cơ chế hoạt động
Content Security Policy (CSP) là một HTTP header cho phép quản trị viên website kiểm soát các tài nguyên (scripts, styles, images) mà trình duyệt được phép tải từ các nguồn đáng tin cậy. CSP ngăn chặn việc thực thi các đoạn mã độc hại ngay cả khi kẻ tấn công đã chèn được script vào trang web.
Cách triển khai
Thiết lập header Content-Security-Policy từ phía Server:

default-src 'self': Chỉ cho phép tải tài nguyên từ cùng domain.
script-src 'self' https://trusted.cdn.com: Chỉ cho phép chạy script từ chính domain và CDN tin cậy.

Lưu ý thực chiến

Tránh sử dụng 'unsafe-inline' và 'unsafe-eval' vì chúng làm giảm đáng kể hiệu quả bảo mật của CSP.
Sử dụng công cụ CSP Evaluator của Google để kiểm tra cấu hình trước khi áp dụng vào môi trường Production.

Tại sao việc sử dụng Content Security Policy (CSP) lại là giải pháp phòng thủ chuyên sâu quan trọng để ngăn chặn tấn công XSS?

Cơ chế hoạt động

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi web security liên quan cùng chủ đề