Нераспознанные директивы политики безопасности контента: disown-opener, отражение-xss, реферер

Question

Я по крайней мере на 90% уверен, что следующее является результатом реализации Chrome стандарта CSP W3C , но я подумал, что было бы лучше удвоить и убедиться.

В настоящее время я нахожусь в процессе реализации строгой политики безопасности контента для клиента, и я столкнулся со следующими сложностями директивы политики в Chrome 66:

Unrecognized Content-Security-Policy directive 'disown-opener'.
Unrecognized Content-Security-Policy directive 'reflected-xss'.
Unrecognized Content-Security-Policy directive 'referrer'.

Опять яуверен, что это проблема стандартов (так как я использую документацию CSP MDN ).Если это так, может кто-нибудь направить меня к конкурирующим или заменяющим директивам?

Answer 1

Нераспознанная директива Content-Security-Policy 'отражение-xss'

Директива reflected-xss была удалена из спецификации CSP более года назад.Но вы можете использовать заголовок X-XSS-Protection, чтобы получить точно такой же эффект, для которого предназначался reflected-xss.

Нераспознанная директива Content-Security-Policy 'referrer'.

Директива referrer была давно отброшена .Вместо этого используйте заголовок Referrer-Policy.

Нераспознанная директива Content-Security-Policy 'disown-opener'

Use rel=noopener на любые внешние ссылки.Он поддерживается во всех современных браузерах , кроме Edge.