刘树凯， 颜学雄， 王清贤， 赵 旭

(1.解放军信息工程大学； 2.数学工程与先进计算国家重点实验室， 郑州 450001)

内容安全策略研究综述

刘树凯， 颜学雄， 王清贤， 赵 旭

(1.解放军信息工程大学； 2.数学工程与先进计算国家重点实验室， 郑州 450001)

从发展历程、安全目标、实现方法、研究进展等方面对内容安全策略进行了综述，并展望了未来的主要研究方向。

内容安全策略；跨站脚本；Web应用

基于Web开发的应用系统已广泛应用于各行各业，成为人们生活工作的一部分。以HTML5为代表的新一代Web技术的快速发展，浏览器扩展、Chrome应用等的日渐流行，以及Chromium os、Mozilla boot2gecko等浏览器操作系统的引入，预示着Web应用发展新时代的到来。与此同时，Web应用面临的安全风险也前所未有，跨站脚本(Cross-Site Scripting，简称XSS)攻击就是最突出的例子。近年来，主流的Web服务(Google、Facebook和Twitter等)都曾多次遭受跨站脚本的攻击[1-3]。目前，跨站脚本攻击已经超过缓冲区溢出攻击，成为一种最猖獗的攻击方式。

内容安全策略(Content Security Policy，简称CSP)是针对跨站脚本攻击最有效的解决方案之一。它由Sterne B于2008年提出，最初的目的是创建一个无所不包的机制以消除跨站脚本等常见的Web漏洞[4]。2010年Stamm S等[5]系统阐释了CSP的基本思想和策略语言，并给出了基于FireFox的原型实现。从此，CSP的概念在全球迅速推广。

2011年3月Firefox 4.0发布，首次把CSP当作一种正式的安全策略规范应用到浏览器中。谷歌在2011年9月发布的Chrome14.0支持CSP。

2011年11月W3C在官网上发布了CSP1.0草案。2012年2月Chrome25版本发布，并宣布支持W3C的CSP1.0标准。2013年6月Firefox宣布在23版本中全面支持W3C的CSP1.0标准。IE10开始部分地支持CSP1.0[6]，现在CSP1.0已得到主流浏览器的全面支持。……