40 lines
1.2 KiB
Markdown
40 lines
1.2 KiB
Markdown
# M13-05A：CSP 默认拒绝策略
|
||
|
||
- `task`: `M13-05A`
|
||
- `parent`: `M13-04J`
|
||
- `status`: `done`
|
||
|
||
## 目标
|
||
|
||
为部署服务器和生产构建统一声明 CSP，拒绝 inline script、eval、data script 和未声明 origin；
|
||
所有响应（包括 404）都必须携带相同策略。
|
||
|
||
## 输入
|
||
|
||
- manifest：`tests/golden/M13-04J/manifest.json`
|
||
- 部署合同：`docs/web/deployment-contract.json`
|
||
- 入口与构建：`web/app/index.html`、`web/app/vite.config.ts`
|
||
|
||
## 范围
|
||
|
||
- 做：`default-src/script-src/worker-src/connect-src` same-origin 约束、`object-src/base-uri/frame-ancestors`
|
||
拒绝规则、源代码/构建产物扫描和 HTTP 响应检查。
|
||
- 不做：按资源类型拆分 Worker/WASM/font/image/media 策略；交给 M13-05B。
|
||
|
||
## 验收
|
||
|
||
```text
|
||
npm --prefix web run test:csp-policy
|
||
node tools/web/check-deployment-contract.mjs
|
||
npm --prefix web run typecheck
|
||
npm --prefix web run build
|
||
```
|
||
|
||
## 产物和交接
|
||
|
||
报告和 manifest 位于 `tests/golden/M13-05A/`；下一任务由 manifest 的 `nextTask` 指向 `M13-05B`。
|
||
|
||
## 回滚
|
||
|
||
恢复部署合同、HTTP 头、checker、报告、manifest、package 命令和状态页；将 `M13-04J` 恢复为队列尾。
|