X-Frame-OptionsとContent-Security-Policyヘッダーのセキュリティの違いは？

Question

これらのHTTPヘッダーは同じことをしているようですが、後者はもう少し柔軟性があります。

Content-Security-Policyが提供する追加のセキュリティはありますか？

Answer 1

X-FRAME-OPTIONSは、サイトを他のサイトに囲まれないように保護します。

たとえば、X-FRAME-OPTIONS:SAMEORIGINは、同じドメインのiframeにのみサイトを埋め込むことができます。 ClickJackingの攻撃を防止する必要があります。

しかし、コンテンツセキュリティポリシーはまったく異なる目的を持っています。

コンテンツセキュリティポリシーは、Webアプリケーションの作成者（またはサーバ管理者）は、アプリケーションがリソースをロードする予定で、そこからクライアントに通知することができます宣言型のポリシーです：CSPの仕様は、と言っています

だから、主な目的だのブラウザでは、未知のドメインからのリソース（スクリプトなど）をローダーに許可しないことによって、ユーザーのXSS攻撃からサイトを保護することです。