2047现已添加内容安全策略，目前理论上免疫一切网页脚本攻击

47小管家 · 2022-01-182047，自由人的精神角落，一个无需手机号和邮箱即可发言的社区。讨论时事、政治、文艺、IT技术等话题。

最近一段时间我们大幅加强了2047的安全措施，其中包括添加内容安全策略（Content Security Policy）以防御跨站脚本攻击。12月底2047遭到的黑客攻击就是一次跨站脚本攻击，目前新添加的安全特性，可以永久杜绝此类问题再次发生。

内容安全策略本质上是一个资源白名单。2047除了禁止网页内嵌脚本和跨站脚本执行，还对其它资源加载做出了限制：

图片：只允许telegra.ph、imgur、WebArchive、和推特图床的图片加载。
视频：只允许youtube链接。

如果您希望把其它安全的图床添加进白名单，欢迎在本贴下面留言。

KBBL
Misaki习帝，习帝，我要Diss你！
图片：维基共享资源 (uploads.wikimedia.org) 、Jetpack.com（i0.wp.com等）, Github (*.github.io, *.githubusercontent.com), Gitlab (*gitlab.io, user-content.gitlab-static.net), Reddit (i.redd.it) 也可以加上去。

视频：Vimeo也可以。

2022-01-19
非钢铁雄心
钢铁雄心（钓鱼网站已屏蔽）
“品葱”的头像

2022-01-19
asdfghjkl
建议定期审查这个列表的内容，最好是设定一个策略，如果在多少天之内不确认一下，这个列表里的规则就自动失效。

2022-01-19
外逃贪官CA
邹韬奋虽然韬光养晦，亦当奋起而争(拜登永不为奴：h.2047.one)
我的提议是不能过白名单的链接显示其链接，现在是图片不是图库的就会开天窗。

12022-01-19
CourtPie
githubusercontent.com不是一个安全的图床，它提供未经处理的图像，可能包含触发0day的恶意内容。

12022-01-21
47小管家2047，自由人的精神角落，一个无需手机号和邮箱即可发言的社区。讨论时事、政治、文艺、IT技术等话题。
@通音宽依 <#177559> @asdfghjkl <#177590> @消极 <#177612> @CourtPie <#177735> 非常感谢建议和反馈。我们会进一步商讨CSP的具体策略。

2022-01-21
▄︻┻┳═一
猎鹿人一只鹿兒：這麼入戲做什麼，真以為自己是趙家人啦（2021-09-30）
我想提议视频链接也允许：

https://www.bitchute.com/

https://rumble.com/

https://www.dailymotion.com/

最近发现很多油管上被整的视频都转移到了上面几个网站

12022-01-24
jmp_esp
万一白名单的链接有漏洞呢？概率虽然低但是也有可能。我建议对代码做下 review ，去掉存在 Xss 的部分，或者干脆自己做图床，不要信任站外链接更安全。

2022-01-24
白夜梨花
@CourtPie <#177735> 想了解一下未经处理的图像为什么会有漏洞，能否举个例子？

———— 另外，我觉得推特图床没啥必要自己要使用的话应该还得注册推特账号，虽然没法像微博那样反查，但是基于目前推特和中共暧昧的关系来说，还是不够安全。

2022-01-26
CourtPie
@白夜梨花 <#178064> 这是因为负责图像处理的库可能含有漏洞。如果对图像进行处理，恶意代码就更有可能被剥离出来

请参考这篇文章

22022-01-26

47小管家2047，自由人的精神角落，一个无需手机号和邮箱即可发言的社区。讨论时事、政治、文艺、IT技术等话题。

CSP规则已更新，现在的规则比之前更严格，并且修复了Youtube无法播放的问题。

default-src 'none';

base-uri 'self'; 

upgrade-insecure-requests; 

script-src https://2047.one/js/ https://2047.one/highlight/ https://2047.one/cdn-cgi/; 

style-src 'unsafe-inline' https://2047.one/css/ https://2047.one/highlight/; 

connect-src 'self'; 

form-action 'self'; 

frame-ancestors 'none'; 

frame-src 'self' https://youtu.be https://www.youtu.be https://youtube.com https://www.youtube.com; 

img-src 'self' https://telegra.ph https://www.telegra.ph https://web.archive.org https://i.imgur.com https://pbs.twimg.com https://i.ytimg.com https://upload.wikimedia.org; 

manifest-src 'self'; 

media-src https://youtu.be https://www.youtu.be https://youtube.com https://www.youtube.com; 

worker-src 'self';

个性抬头
放大镜
medium能加吗？

2022-02-03

47小管家2047，自由人的精神角落，一个无需手机号和邮箱即可发言的社区。讨论时事、政治、文艺、IT技术等话题。

CSP规则更新，增加了hcaptcha和mathjax

default-src 'none'; 

upgrade-insecure-requests; 

base-uri https://2047.one; 

script-src 'self' https://cdn.jsdelivr.net/npm/mathjax@3.2.0/es5/tex-mml-chtml.js https://hcaptcha.com https://*.hcaptcha.com; 

style-src 'self' 'unsafe-inline' https://hcaptcha.com https://*.hcaptcha.com; 

connect-src https://2047.one https://hcaptcha.com https://*.hcaptcha.com; 

font-src https://cdn.jsdelivr.net/npm/mathjax@3.2.0/; 

form-action 'self'; 

frame-ancestors 'none'; 

frame-src 'self' https://youtu.be https://www.youtu.be https://youtube.com https://www.youtube.com https://hcaptcha.com https://*.hcaptcha.com; 

img-src 'self' https://telegra.ph https://www.telegra.ph https://web.archive.org https://i.imgur.com https://pbs.twimg.com https://i.ytimg.com https://upload.wikimedia.org; 

media-src https://youtu.be https://www.youtu.be https://youtube.com https://www.youtube.com; manifest-src 'self'; worker-src 'self';