前言
现代 Web 应用开发中越来越受到安全方面的关注，如 XSS、CSRF 等攻击方式层出不穷。为了加强 Web 应用安全，W3C 在 2018 年发布了 feature policy 规范，用于控制浏览器在文档加载期间如何使用某些 Web API。本文将会介绍如何使用 npm 包 koa-feature-policy 来编写安全的 koa 应用。
koa-feature-policy 介绍
koa-feature-policy 是一款 koa 中间件，用于向页面添加 Feature-Policy http 头部。Feature-Policy 头部允许网站开发者控制浏览器哪些功能可以使用。比如，如果你不想让页面使用某些不安全的 API，你可以在 Feature-Policy 头部中设置，让浏览器在渲染页面前将这些 API 禁用。
安装 koa-feature-policy
首先，我们需要安装 koa-feature-policy 包，可以通过 npm 命令行安装：
npm install koa-feature-policy
与此同时，还需要安装 koa 依赖包，可以通过以下命令安装：
npm install koa
使用 koa-feature-policy
使用 koa-feature-policy 很简单，只需要将其作为 koa 的组件，然后按照你的需求设置相应的策略。
以下是一个基本的 koa-feature-policy 使用案例：
-- -------------------- ---- -------
----- --- - ---------------
----- ------------- - ------------------------------
----- --- - --- ------
-----------------------
--------- -
----------- -----------
-------- ----------------
-
----在上面的示例中，我们引入了 koa 和 koa-feature-policy 包，并利用 koa-feature-policy 中间件创建了一个实例。在实例上使用了 features 参数，用来设置可以被允许的功能。
以上代码将 Feature-Policy 头部添加到每个响应中，其中 fullscreen 功能仅允许使用同源请求（'self'），而 payment 功能仅允许以 example.com 为来源的请求。
常见的 Feature-Policy 功能
以下是一些常见的 Feature-Policy 功能：
- accelerometer
- ambient-light-sensor
- autoplay
- camera
- encrypted-media
- fullscreen
- geolocation
- gyroscope
- microphone
- midi
- payment
- picture-in-picture
- speaker
- sync-xhr
koa-feature-policy 支持这些功能，可以在 features 参数中设置。
完整示例代码
以下是一个完整的 koa 应用程序，使用了 koa-feature-policy 中间件：
-- -------------------- ---- -------
----- --- - ---------------
----- ------------- - ------------------------------
----- --- - --- ------
-----------------------
--------- -
-------------- -----------
------------------- -----------
--------- -----------
------- -----------
------------------------ -----------
----------- -----------
------------ -----------
---------- -----------
------------- -----------
----------- -----------
----- -----------
-------- ----------------
----------------- -----------
-------- -----------
-------- -----------
---- -----------
--- -----------
------------------ ----------
-
----
------------- ----- -- -
-------- - ------- --------
---
---------------- -- -- -
------------------- ------- -- ------------------------
---在上述代码中，我们定义了一个名为 app 的 koa 实例，并将 Feature-Policy 头部添加到每个响应中。同时在响应中输出了一个简单的字符串。在运行该应用程序之前，确保你已经安装了相关依赖和包。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/600668e4d9381d61a3540ad2