无法识别的内容安全策略指令：disown-opener、reflected-xss、referrer

Question

我至少 90% 确定以下是 Chrome 实施 W3C's CSP standard 的结果，但我认为最好加倍努力并确保.

我目前正在为客户实施严格的内容安全政策，我运行在 Chrome 66 上遇到以下政策指令并发症：

Unrecognized Content-Security-Policy directive 'disown-opener'.
Unrecognized Content-Security-Policy directive 'reflected-xss'.
Unrecognized Content-Security-Policy directive 'referrer'.

同样，我确定这是一个标准问题（因为我正在使用 MDN’s CSP documentation）。如果是这种情况，任何人都可以指导我竞争或替代指令吗？

Answer 1

Unrecognized Content-Security-Policy directive 'reflected-xss'

reflected-xss 指令是 removed from the CSP spec in 2016. But you can use the X-XSS-Protection header 以获得与 reflected-xss 完全相同的效果。

Unrecognized Content-Security-Policy directive 'referrer'.

用referrer directive was dropped long ago. Use the Referrer-Policy代替header。

Unrecognized Content-Security-Policy directive 'disown-opener'

使用 rel=noopener on any external links. It’s supported in all modern browsers 除了 Edge。

无法识别的内容安全策略指令：disown-opener、reflected-xss、referrer

Unrecognized content security policy directives: disown-opener, reflected-xss, referrer

content-security-policy