一、什么是unsafe-url
unsafe-url是一个安全策略内容，它用于标示一个URL是否是不安全的。在浏览器请求资源的时候，如果请求的URL是unsafe-url，则会被浏览器拦截并报错。
我们可以通过在HTTP头部设置Content-Security-Policy来设置unsafe-url策略，比如下面的例子：
上面的代码实现了一些基础的CSP策略限制，比如限制了default-src，connect-src等，而其中style-src限制了仅允许渲染inline样式。
二、unsafe-url的危害
在日常的开发工作中，因为一些hacky行为或者脚本行为，使用unsafe-url的现象比较普遍。然而，unsafe-url带来的危害也比较显著，比如以下几种：
1. XSS漏洞
在前端页面中使用用户输入的URL时，如果不进行正确的验证和编码，那么就有可能出现XSS漏洞。攻击者可以使用一些特殊的字符和表达式来构造URL，从而在前端代码中注入恶意脚本，导致攻击者可以窃取用户的敏感信息。通过设置unsafe-url策略，可以有效避免XSS漏洞的出现。
2. 资源劫持
攻击者可以使用一些特殊的技巧，比如DNS劫持、中间人攻击等，将用户请求的URL劫持到另一个不安全的URL上。这种情况下，用户所请求的资源可能包含恶意代码，会导致用户的计算机被感染、敏感信息被窃取等问题。使用unsafe-url策略可以有效避免这种安全隐患的出现。
三、如何使用unsafe-url
在实际的Web开发中，使用unsafe-url比较普遍。我们可以通过以下两种方式来使用unsafe-url。
1. 直接使用
直接在浏览器请求资源的时候，可以在URL前面添加unsafe:标记来表示这个URL是不安全的。比如下面的例子：
上面的代码指定了一张Example网站的logo图片，但是通过添加unsafe标记指定这个URL是不安全的。这种方式比较直接，但是容易出现安全隐患。
2. 使用CSP
在HTTP头中设置Content-Security-Policy可以更好地使用unsafe-url。
在CSP中设置unsafe-url的方式如下：
上面的代码中，img-src设置了unsafe-url。比如请求下面的一个URL，需要使用unsafe-url标记：
如果不使用unsafe-url标记，在CSP中指定的策略会拒绝加载该URL。
四、unsafe-url的应用场景
在实际的开发过程中，unsafe-url也具有一定的应用场景。
1. HTML邮件中的链接
在HTML邮件中，有一些链接会带有一些查询参数，这些参数中含有一些JavaScript脚本，比如下面的URL：
http://www.example.com/reply-to-all.php?attendee=jeff.geerling%40example.com&body=%3Cscript%3Ealert(%27XSS+attack%21%27)%3C%2Fscript%3E&subject=Re%3A+Meet+for+lunch
这个URL的查询参数中，包含了一个XSS攻击的脚本。通过使用unsafe-url标记，可以让这个URL在浏览器中正常加载。
2. 动态创建脚本和样式
在一些特殊的情况下，我们需要动态地创建脚本和样式，比如动态加载一些组件。在这种情况下，我们需要使用unsafe-url标记来指定这些URL是不安全的。
五、结论
unsafe-url是一个安全策略内容，它可以用于标识一个URL是否是不安全的。在实际的开发过程中，使用unsafe-url比较普遍，但是也容易出现安全隐患。使用unsafe-url需要谨慎，只有在必要的情况下才应该使用。通过良好的安全策略可以有效地避免安全隐患。
京公网安备 11010802030320号