Güvenilir Türler ile DOM tabanlı XSS'yi azaltma

Trusted Types, riskli ekleme noktalarının (ör. .innerHTML) doğrulanmamış dize değerlerini kullanmasını engelleyerek belirli DOM tabanlı XSS saldırılarını önlemeye yardımcı olan bir web platformu güvenlik özelliğidir. Riskli bir ekleme noktası engellenirse ihlal bildirilir.

Content-Security-Policy (CSP) başlığı, Güvenilir Türleri zorunlu kılmak için require-trusted-types-for yönergesini kullanır.

Lighthouse denetimi neden başarısız olur?

Lighthouse raporu, CSP yanıt başlığının eksik olduğu veya DOM tabanlı XSS'yi azaltmak için Trusted Types yönergesinin eksik olduğu konusunda uyarı veriyor.
Lighthouse raporu, CSP yanıt başlığının eksik olduğunu veya DOM tabanlı XSS'yi azaltmak için Trusted Types yönergesinin eksik olduğunu belirten bir uyarı gösteriyor.

CSP üstbilgisi, require-trusted-types-for yönergesiyle birlikte ayarlanırsa ve değeri olarak komut dosyası kullanılırsa denetleme başarılı olur. CSP başlığı ayarlanmamışsa veya ayarlanmış ancak Trusted Types yönergesi eksikse denetim başarısız olur.

DOM tabanlı XSS'yi azaltmak için bir CSP başlığı ve Trusted Types yönergesi yapılandırma

Kullanıcı aracıları, DOM XSS sink işlevlerine hangi verilerin iletileceğini kontrol etmek için require-trusted-types-for yönergesini kullanır. Bu yönergenin script değeri, DOM XSS ekleme sink işlevlerinin yalnızca dizelere izin vermek yerine Trusted Type politikaları tarafından oluşturulan türleri kabul ettiğini doğrular:

Content-Security-Policy: require-trusted-types-for 'script';