前端安全配置

直接说结论：我一般用 CSP 配合 HSTS，简单粗暴 先说结论吧。关于 mixed content 的问题，也就是 HTTPS 页面里偷偷加载了 HTTP 资源，我一直觉得这玩意儿挺危险的——比如你...

为啥我要折腾 strict-dynamic？ 最近项目要过安全审计，CSP（Content Security Policy）成了绕不开的坎。以前我们用 unsafe-inline 图省事，结果被安全团...

项目初期的技术选型 上个月我们接了个新需求：把一个内部管理后台的用户行为日志上报系统做安全加固。说白了，就是防止第三方网站通过 document.referrer 拿到我们页面的敏感路径。比如，用户从...