漏洞赏金狩猎完全指南:深入解析废弃的prefetch-src指令

本文详细解析了已废弃的prefetch-src内容安全策略指令,包括其工作原理、语法结构、源表达式定义以及违规示例,为漏洞赏金猎人提供重要的技术参考。

⚠️ prefetch-src 摘要(已废弃)

prefetch-src 指令旨在指定浏览器允许预获取或预渲染资源的有效来源。预获取是一种在后台加载用户可能很快需要的资源的技术,可以提高页面加载的感知速度。

重要状态说明

已废弃且非标准:不建议在新网站中使用此指令。它未在任何当前的网络标准中定义,浏览器支持有限,并且可能随时被浏览器移除。最好避免使用它。

🚫 prefetch-src 的工作原理(语法)

尽管已被废弃,以下是该指令的结构:

描述
'none' 阻止任何资源被预获取或预渲染。需要单引号。
<source-expression-list> 经批准的来源的空格分隔列表。只有匹配这些表达式的资源才能被预获取。

源表达式

经批准的来源列表包括:

  • 'self':允许从与文档相同来源进行预获取
  • <host-source>:特定域名,例如 https://trusted-cdn.com
  • <scheme-source>:特定协议,例如 https:

违规示例

如果 CSP 标头设置为:

1
2
HTTP
Content-Security-Policy: prefetch-src https://example.com/

任何尝试从不同来源进行预获取的操作都将被阻止,导致网络错误:

1
2
3
HTML
<link rel="prefetch" href="https://example.org/" />
<link rel="prerender" href="https://example.org/" />

↘️ 回退行为

如果策略中未包含(已废弃的)prefetch-src 指令,浏览器将默认使用 default-src 指令为预获取和预渲染请求设置的规则。

我是 Mehedi Hasan Rafid,一名内容撰稿人。如果您希望为您的网站获取有用且信息丰富的博客内容,可以通过我的电子邮件 rafidcontentwriter@gmail.com 或 WhatsApp +8801969104310 与我联系。

comments powered by Disqus
使用 Hugo 构建
主题 StackJimmy 设计