Какова роль заголовков Content Security Policy (CSP) в безопасности API?

Цель:

• Предотвращайте атаки XSS и инъекции данных.

Пример реализации:

const helmet = require('helmet');

app.use(helmet.contentSecurityPolicy({
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'", "cdn.example.com"],
    objectSrc: ["'none'"],
    upgradeInsecureRequests: [],
  }
}));

Преимущества:

• Предотвращает загрузку вредоносных скриптов.
• Добавляет уровень защиты от XSS.
• Помогает отслеживать нарушения политики с помощью

report-uri

.

Лучшие практики:

• Используйте строгий

default-src 'self'

политика.

• Избегать

unsafe-inline

или

unsafe-eval

.

• Регулярно проверяйте и обновляйте директивы CSP.

Итог

Ключевой вывод для интервью: какова роль заголовков Content Security Policy (CSP) в безопасности API?