Ograniczanie ryzyka ataków typu XSS opartych na DOM za pomocą zaufanych typów

Trusted Types to funkcja zabezpieczeń platformy internetowej, która pomaga zapobiegać niektórym atakom XSS opartym na DOM, blokując ryzykowne punkty wstrzykiwania (np. .innerHTML) przed używaniem niezweryfikowanych wartości ciągów znaków. Jeśli ryzykowny punkt wstrzyknięcia zostanie zablokowany, zostanie zgłoszone naruszenie zasad.

Nagłówek Content-Security-Policy (CSP) używa dyrektywy require-trusted-types-for do wymuszania zaufanych typów.

Przyczyny niepowodzenia audytu Lighthouse

Ostrzeżenie w raporcie Lighthouse, że brakuje nagłówka odpowiedzi CSP lub dyrektywy Trusted Types, która zapobiega atakom XSS opartym na DOM.
Ostrzeżenie w raporcie Lighthouse, że brakuje nagłówka odpowiedzi CSP lub dyrektywy Trusted Types, która zapobiega atakom XSS opartym na DOM.

Kontrola zakończy się powodzeniem, jeśli nagłówek CSP jest ustawiony razem z dyrektywą require-trusted-types-for i skryptem jako jego wartością. Audyt zakończy się niepowodzeniem, jeśli nagłówek CSP nie jest ustawiony lub jest ustawiony, ale brakuje w nim dyrektywy Trusted Types.

Konfigurowanie nagłówka CSP i dyrektywy Trusted Types w celu ograniczenia ryzyka związanego z atakami XSS opartymi na DOM

Agenty użytkownika używają dyrektywy require-trusted-types-for, aby kontrolować, jakie dane są przekazywane do funkcji ujścia DOM XSS. Wartość script tej dyrektywy sprawdza, czy funkcje ujścia wstrzykiwania kodu XSS w DOM akceptują tylko typy generowane przez zasady zaufanych typów, a nie ciągi znaków:

Content-Security-Policy: require-trusted-types-for 'script';