Content Security Policy (CSP) für das Backend
Verstehen Sie, wie Backend-Konfigurationen die Content Security Policy (CSP) beeinflussen können, um clientseitige Angriffe wie XSS einzudämmen.
Content Security Policy (CSP) für das Backend ist eine kostenlose Secure Coding & OWASP Top 10 for Backend-Lektion auf CoddyKit. Dies ist Lektion 3 von 4. Du kannst die komplette Lektion unten kostenlos lesen – dann übst du sie direkt im Browser mit einem integrierten Code-Editor und einem KI-Tutor rund um die Uhr. Sie ist Teil des Secure Coding & OWASP Top 10 for Backend-Lernpfads, und dein Fortschritt wird über Web und CoddyKit-App synchronisiert. Der Secure Coding & OWASP Top 10 for Backend-Kurs umfasst insgesamt 4 Lektionen.
Teile dieser Lektion wurden noch nicht übersetzt und werden auf Englisch angezeigt.
Backend's Role in CSP
Welcome to Content Security Policy (CSP) for Backend! You might think CSP is just for frontend developers, but the backend plays a crucial role.
CSP is a security standard that helps prevent client-side attacks like Cross-Site Scripting (XSS). It does this by telling the browser which resources (scripts, styles, images) it's allowed to load and execute.
The backend is responsible for delivering these rules to the browser.
How Backend Delivers CSP
The backend delivers CSP rules to the browser using a special HTTP response header called Content-Security-Policy. When the browser receives this header, it enforces the rules defined within it.
This means your backend application directly controls the security policy for your frontend. Let's see how a backend might set this header.
Setting the CSP Header
In a backend application, you'd typically add the CSP header to your HTTP response. This example simulates a backend sending a basic CSP header.
The default-src 'self' directive allows resources only from the same origin as the document.
public class BackendCspExample {
public static void main(String[] args) {
System.out.println("HTTP/1.1 200 OK");
System.out.println("Content-Type: text/html");
System.out.println("Content-Security-Policy: default-src 'self';");
System.out.println("");
System.out.println("<!-- Your secure HTML content goes here -->");
}
}Key CSP Directives for Backend
As a backend developer, you'll often define directives that control various resource types. Some common ones include:
script-src: Specifies valid sources for JavaScript.style-src: Specifies valid sources for stylesheets.img-src: Specifies valid sources for images.connect-src: Restricts URLs that can be loaded using scripting interfaces (e.g., AJAX, WebSockets).
Each directive can have multiple allowed sources, like 'self', https://example.com, or 'unsafe-inline' (generally to be avoided).
Mitigating Inline Scripts with Nonces
One common XSS attack vector is injecting inline scripts. CSP can block these, but sometimes inline scripts are necessary.
The backend can generate a unique, cryptographically secure nonce (Number Used Once) for each request. This nonce is added to both the CSP header and the allowed inline <script> tags.
Backend Nonce Generation
Here's how a backend can generate a nonce. This nonce is then included in the Content-Security-Policy header (e.g., script-src 'nonce-YOUR_NONCE_HERE') and rendered into the HTML script tag.
The browser will only execute inline scripts that have a matching nonce attribute.
import java.util.Base64;
import java.security.SecureRandom;
public class NonceGenerator {
public static void main(String[] args) {
SecureRandom random = new SecureRandom();
byte[] nonceBytes = new byte[16]; // 16 bytes for a good nonce
random.nextBytes(nonceBytes);
String nonce = Base64.getEncoder().encodeToString(nonceBytes);
System.out.println("Generated Nonce: " + nonce);
System.out.println("\nUse this in your CSP header:");
System.out.println("Content-Security-Policy: script-src 'self' 'nonce-" + nonce + "';");
System.out.println("\nAnd in your HTML:");
System.out.println("<script nonce=\"" + nonce + "\">alert('Hello!');</script>");
}
}CSP Reporting: `report-to`
CSP isn't just about blocking; it's also about visibility. The backend can specify a reporting endpoint using the report-to directive (or older report-uri).
If a browser violates the CSP (e.g., tries to load a script from an unauthorized source), it will send a JSON report to this backend endpoint. Your backend can then log and analyze these reports to detect potential attacks or policy misconfigurations.
Integrating CSP with Frameworks
Modern backend frameworks often provide convenient ways to manage CSP headers without manually concatenating strings.
- Spring Security (Java): Has dedicated configurations for HTTP security headers, including CSP.
- Helmet (Node.js/Express): A middleware that helps secure Express apps by setting various HTTP headers, including CSP.
- Django (Python): Can set CSP headers via middleware or specific libraries.
These tools simplify implementation and help ensure best practices.
CSP for XSS Prevention (Backend View)
From a backend perspective, correctly configured CSP adds a powerful layer of defense against XSS. Even if an attacker manages to inject malicious content into your HTML, CSP can prevent the browser from executing it.
By controlling the Content-Security-Policy header, your backend dictates what content is safe, significantly reducing the impact of client-side vulnerabilities.
CSP Header Challenge
Consider a backend service that needs to allow scripts only from its own domain and from cdn.example.com. Which CSP header directive would best achieve this?
Recap: Backend & CSP
You've learned that Content Security Policy (CSP) is a critical security layer delivered by the backend via the Content-Security-Policy HTTP header.
- Backend sets CSP headers to control resource loading.
- Directives like
script-srcdefine allowed sources. - Nonces are backend-generated tokens to safely allow specific inline scripts.
- Backend can collect violation reports via
report-to. - Frameworks simplify CSP implementation.
By actively managing CSP, backend developers significantly enhance their application's defense against client-side attacks like XSS.
Lerne Secure Coding & OWASP Top 10 for Backend mit einem KI-Tutor — kostenlos
Schreibe und führe echten Code in deinem Browser aus, bekomme sofortige Hilfe von einem 24/7 KI-Tutor und setze dein Lernen im Web oder in der App fort.
- Kurse
- 12
- Lektionen
- 48
Häufig gestellte Fragen
Ist die Lektion „Content Security Policy (CSP) für das Backend“ kostenlos?
Ja — der vollständige Text von „Content Security Policy (CSP) für das Backend“ ist hier im Web kostenlos zu lesen. Um sie interaktiv zu üben (integrierter Code-Editor und 24/7 KI-Tutor) und den Rest des Secure Coding & OWASP Top 10 for Backend-Kurses freizuschalten, upgrade auf CoddyKit PRO. Der Secure Coding & OWASP Top 10 for Backend-Kurs umfasst insgesamt 4 Lektionen.
Was lerne ich in „Content Security Policy (CSP) für das Backend“?
Verstehen Sie, wie Backend-Konfigurationen die Content Security Policy (CSP) beeinflussen können, um clientseitige Angriffe wie XSS einzudämmen. Du übst Secure Coding & OWASP Top 10 for Backend mit praktischem Code, den du direkt im Browser ausführst, und ein 24/7 KI-Tutor beantwortet deine Fragen während du die Lektion bearbeitest.
Brauche ich Erfahrung, um Secure Coding & OWASP Top 10 for Backend zu starten?
Keine Vorkenntnisse erforderlich. Secure Coding & OWASP Top 10 for Backend auf CoddyKit ist für Anfänger bis fortgeschrittene Lernende strukturiert, sodass du hier starten oder von Anfang an beginnen und in deinem eigenen Tempo voranschreiten kannst. Dies ist Lektion 3 von 4.
Wie lange dauert die Lektion „Content Security Policy (CSP) für das Backend“?
Die meisten CoddyKit-Lektionen dauern etwa 5–10 Minuten. Jede ist kompakt und interaktiv, sodass du stetig Fortschritte machst und genau dort weitermachst, wo du aufgehört hast – im Web und in der App.
Kann ich in dieser Secure Coding & OWASP Top 10 for Backend-Lektion Code schreiben und ausführen?
Ja. Jede Secure Coding & OWASP Top 10 for Backend-Lektion enthält einen integrierten Code-Editor, sodass du echten Code direkt in deinem Browser schreibst und ausführst und sofort KI-Feedback erhältst — ohne lokale Einrichtung erforderlich.
Alle Lektionen in diesem Kurs
- Fortgeschrittene SQLi- und NoSQLi-Techniken
- Umfassende Strategien zur Eingabevalidierung
- Content Security Policy (CSP) für das Backend
- Befehls- und LDAP-Injection verhindern