unsafe-url詳解

一、什麼是unsafe-url

unsafe-url是一個安全策略內容，它用於標示一個URL是否是不安全的。在瀏覽器請求資源的時候，如果請求的URL是unsafe-url，則會被瀏覽器攔截並報錯。

我們可以通過在HTTP頭部設置Content-Security-Policy來設置unsafe-url策略，比如下面的例子：

<meta http-equiv="Content-Security-Policy" content="default-src 'none'; connect-src 'self' ws://localhost:3000; font-src 'self'; img-src 'self' data:; style-src 'unsafe-inline';" />

上面的代碼實現了一些基礎的CSP策略限制，比如限制了default-src，connect-src等，而其中style-src限制了僅允許渲染inline樣式。

二、unsafe-url的危害

在日常的開發工作中，因為一些hacky行為或者腳本行為，使用unsafe-url的現象比較普遍。然而，unsafe-url帶來的危害也比較顯著，比如以下幾種：

1. XSS漏洞

在前端頁面中使用用戶輸入的URL時，如果不進行正確的驗證和編碼，那麼就有可能出現XSS漏洞。攻擊者可以使用一些特殊的字符和表達式來構造URL，從而在前端代碼中注入惡意腳本，導致攻擊者可以竊取用戶的敏感信息。通過設置unsafe-url策略，可以有效避免XSS漏洞的出現。

2. 資源劫持

攻擊者可以使用一些特殊的技巧，比如DNS劫持、中間人攻擊等，將用戶請求的URL劫持到另一個不安全的URL上。這種情況下，用戶所請求的資源可能包含惡意代碼，會導致用戶的計算機被感染、敏感信息被竊取等問題。使用unsafe-url策略可以有效避免這種安全隱患的出現。

三、如何使用unsafe-url

在實際的Web開發中，使用unsafe-url比較普遍。我們可以通過以下兩種方式來使用unsafe-url。

1. 直接使用

直接在瀏覽器請求資源的時候，可以在URL前面添加unsafe:標記來表示這個URL是不安全的。比如下面的例子：

<img src="unsafe:http://www.example.com/logo.png" alt="example logo" />

上面的代碼指定了一張Example網站的logo圖片，但是通過添加unsafe標記指定這個URL是不安全的。這種方式比較直接，但是容易出現安全隱患。

2. 使用CSP

在HTTP頭中設置Content-Security-Policy可以更好地使用unsafe-url。

在CSP中設置unsafe-url的方式如下：

<meta http-equiv="Content-Security-Policy" content="default-src 'none'; img-src 'unsafe-url' https://*.example.com;" />

上面的代碼中，img-src設置了unsafe-url。比如請求下面的一個URL，需要使用unsafe-url標記：

<img src="http://www.example.com/logo.png" data-orig-src="http://www.example.com/logo.png" />

如果不使用unsafe-url標記，在CSP中指定的策略會拒絕加載該URL。

四、unsafe-url的應用場景

在實際的開發過程中，unsafe-url也具有一定的應用場景。

1. HTML郵件中的鏈接

在HTML郵件中，有一些鏈接會帶有一些查詢參數，這些參數中含有一些JavaScript腳本，比如下面的URL：

http://www.example.com/reply-to-all.php?attendee=jeff.geerling%40example.com&body=%3Cscript%3Ealert(%27XSS+attack%21%27)%3C%2Fscript%3E&subject=Re%3A+Meet+for+lunch

這個URL的查詢參數中，包含了一個XSS攻擊的腳本。通過使用unsafe-url標記，可以讓這個URL在瀏覽器中正常加載。

2. 動態創建腳本和樣式

在一些特殊的情況下，我們需要動態地創建腳本和樣式，比如動態加載一些組件。在這種情況下，我們需要使用unsafe-url標記來指定這些URL是不安全的。

五、結論

unsafe-url是一個安全策略內容，它可以用於標識一個URL是否是不安全的。在實際的開發過程中，使用unsafe-url比較普遍，但是也容易出現安全隱患。使用unsafe-url需要謹慎，只有在必要的情況下才應該使用。通過良好的安全策略可以有效地避免安全隱患。