内容安全策略作为黑名单

Question

我可以使用内容安全策略 Header 来 黑名单 从某些域加载脚本吗？

Answer 1

不，你不能。当您创建 CSP 策略时，它基本上是一个“拒绝所有”策略。然后，您向其中添加回“允许来自”异常。但是你不能反过来做；也就是说，您不能在 CSP 策略中将“全部允许”表示为默认值，然后添加回特定的“拒绝”例外。