Content-Security-Policy Spring Security

Question

przy założeniu działającego witającego świata przykładu wiosennego bezpieczeństwa i sprężynowego prądu mvc.

kiedy biorę śladu z Wireshark widzę następujące flagi na żądanie http

X-Content-Type-Options: nosniff 
X-XSS-Protection: 1; mode=block 
Cache-Control: no-cache, no-store, max-age=0, must-revalidate 
Pragma: no-cache 
Expires: 0 
Strict-Transport-Security: max-age=31536000 ; includeSubDomains 
X-Frame-Options: DENY 
Set-Cookie: JSESSIONID=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; Path=/; Secure; HttpOnly 

chciałbym dodać to do moich nagłówków:

Content-Security-Policy: script-src 'self' 

wiem, że X- Frame-Options robi prawie to samo, ale wciąż sprawia, że ​​lepiej śpię. Teraz myślę, że musiałaby to zrobić za pomocą funkcji Konfiguracja mojego konfiguracji zabezpieczeń wiosny jednak nie wiem jak dokładnie, tzn przypuszczam .headers(). Something.something (self)

@Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
//   .csrf().disable() 
//   .headers().disable() 
      .authorizeRequests() 
       .antMatchers( "/register", 
           "/static/**", 
           "/h2/**", 
           "/resources/**", 
          "/resources/static/css/**", 
           "/resources/static/img/**" , 
           "/resources/static/js/**", 
           "/resources/static/pdf/**"        
           ).permitAll() 
       .anyRequest().authenticated() 
       .and() 
      .formLogin() 
       .loginPage("/login") 
       .permitAll() 
       .and() 
      .logout() 
       .permitAll(); 
    } 

Answer 1

Wystarczy użyć metody addHeaderWriter takiego:

@EnableWebSecurity 
@Configuration 
public class WebSecurityConfig extends 
    WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
    http 
     // ... 
     .headers() 
     .addHeaderWriter(new StaticHeadersWriter("X-Content-Security-Policy","script-src 'self'")) 
     // ... 
    } 
} 

Zauważ, że tak szybko, jak to określił żadnych nagłówków, które powinny zostać uwzględnione, to tylko te nagłówki będą obejmować.

użyć domyślnych nagłówków można zrobić:

http 
    .headers() 
    .contentTypeOptions() 
    .xssProtection() 
    .cacheControl() 
    .httpStrictTransportSecurity() 
    .frameOptions() 
    .addHeaderWriter(new StaticHeadersWriter("X-Content-Security-Policy","script-src 'self'")) 
    // ... 

Można odwołać się do spring security documentation.

Answer 2

Chociaż podejście z StaticHeadersWriter prac, w najnowszych wersjach wiosennym Bezpieczeństwa to możliwe jest użycie specjalnej metody:

headers() 
    .contentSecurityPolicy("script-src 'self'"); 

znajduje się w dokumentacji szczegóły: https://docs.spring.io/spring-security/site/docs/4.2.x/reference/html/headers.html#headers-csp-configure