Add security headers to every response

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#37 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
75/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Lĩnh vực
backend, security

Hướng nghiên cứu

Bắt đầu trong backend/__init__.py, nơi app được tạo, và đăng ký một hook after_request đặt bốn header trên mọi response. Trước khi viết CSP, hãy dùng grep trên các template và tệp tĩnh để tìm URL của Google Fonts và Steam CDN sao cho allowlist khớp với những gì trang thực sự tải. Chạy app, mở từng trang với console trình duyệt hiển thị, và coi mọi thông báo tài nguyên bị chặn là một khoảng trống CSP; hoàn tất nghĩa là cả bốn header xuất hiện trên mọi response và không trang nào ghi log vi phạm CSP.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

backend help wanted

Add standard security headers in an after_request hook in backend/__init__.py:

  • Content-Security-Policy that allows only what the site uses (its own files, Google Fonts and the Steam image CDN)
  • X-Content-Type-Options: nosniff
  • X-Frame-Options: DENY (or frame-ancestors 'none' in the CSP)
  • Referrer-Policy: strict-origin-when-cross-origin

Check every page still works with the browser console open (a CSP mistake shows up there as a blocked resource).

Ngôn ngữ chính
CSS
Star
1
Fork
1
Merge trung bình
39 phút
Pull request đã merge (30 ngày)
6

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của NotADIM2/GameVault

Tất cả issue của NotADIM2/GameVault

Issue tương tự

Thêm issue về Backend & API Design

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.