第三方指令碼

安全管理第三方指令碼：盤點、SRI、CSP 與表單送出目標的檢查

第三方指令碼可以讀取它所在頁面的內容與使用者輸入。提供者遭入侵或檔案被替換時，即使自己的伺服器沒有問題，使用者也會受到影響。防禦順序是：列出所有正在執行的指令碼，移除不需要的，為內容固定的檔案加上 SRI 或從自己的網站提供審查過的版本，用 CSP 限制載入來源與傳送目標，定期檢查變化。CSP 的 form-action 不會退回使用 default-src，需要另外設定。