بیش از ۷۰ درصد حملات نفوذ به سامانه‌های کاربری از طریق دو آسیب‌پذیری کهن اما شایع XSS (تزریق کد جاوااسکریپت) و CSRF (ارسال ناخواسته درخواست از سوی کاربر لاگین‌شده) انجام می‌گیرد. مهار این حملات نیازمند لایه‌های دفاعی چندگانه است.
هدر Content Security Policy (CSP) چیست؟
هدر CSP به مرورگر اعلام می‌کند منابع صفحه (اسکریپت‌ها، تصاویر و استایل‌ها) دقیقاً از چه دامنه‌هایی مجاز به دانلود و اجرا هستند. با منع اجرای کدهای اینلاین ناشناس و غیرمجاز کردن unsafe-inline و eval()، خطر اجرای کدهای مخرب تزریقی به نزدیک صفر می‌رسد.
الگوی توکن CSRF همگام (Synchronizer Token Pattern)
در تمام فرم‌ها و درخواست‌های مخرب حالت (POST, PUT, DELETE)، یک توکن تصادفی غیرقابل پیش‌بینی در سشن ذخیره شده و در بدنه درخواست ارسال می‌شود. سرور قبل از اجرای هر عملیات مالی یا ویرایشی، تطابق دقیق توکن را بررسی می‌کند.
پرچم‌های امنیتی برای کاهش سطح حمله
- فعال‌سازی هدر
X-Content-Type-Options: nosniffجهت جلوگیری از تغییر نوع داده فایل‌ها. - تنظیم
X-Frame-Options: SAMEORIGINجهت جلوگیری از حملات کلیک‌دزدی (Clickjacking). - اعمال سفت‌وسخت پروتکل HSTS جهت اجبار مادام‌العمر مرورگر به برقراری ارتباط با HTTPS.