1 files changed, 97 insertions, 0 deletions
diff --git a/files/zh-cn/conflicting/web/http/csp_9583294484b49ac391995b392c2b1ae1/index.html b/files/zh-cn/conflicting/web/http/csp_9583294484b49ac391995b392c2b1ae1/index.html
new file mode 100644
index 0000000000..2577fa1fde
--- /dev/null
+++ b/files/zh-cn/conflicting/web/http/csp_9583294484b49ac391995b392c2b1ae1/index.html
@@ -0,0 +1,97 @@
+---
+title: Using CSP violation reports
+slug: Web/Security/CSP/Using_CSP_violation_reports
+translation_of: Web/HTTP/CSP
+translation_of_original: Web/Security/CSP/Using_CSP_violation_reports
+---
+<p>{{ gecko_minversion_header("2.0") }}{{ draft() }}</p>
+
+<p>CSP其中的一个强大的特性是它为web站点管理员提供了生成和报告详细的站点攻击的描述信息。这些报告通过HTTP的POST请求发送到预先你指定的一个或多个服务器上，这些服务器可以通过 <a href="/en/Security/CSP/CSP_policy_directives#report-uri" title="en/Security/CSP/CSP policy directives#report-uri"><code>report-uri</code></a> 策略来制定。发送的报告是JSON格式的，对于非ASCII字符，其使用了默认的JSON UTF-8编码。本文将向你展示如何在你的站点上配置报告，以及报告的格式。</p>
+
+<p>对于支持CSP的浏览器，只要你制定了合法的 <a href="/en/Security/CSP/CSP_policy_directives#report-uri" style="text-decoration: underline;" title="en/Security/CSP/CSP policy directives#report-uri"><code>report-uri</code></a> 指令，任何违背该策略的攻击操作都会被浏览器所报告。</p>
+
+<h2 id="开启报告">开启报告</h2>
+
+<p>默认情况下，攻击是不会被报告的。要开启报告模式，你要指定 <a href="/en/Security/CSP/CSP_policy_directives#report-uri" title="en/Security/CSP/CSP policy directives#report-uri"><code>report-uri</code></a> 指令，这个指令包含了至少一个用于接收报告的URI:</p>
+
+<pre>Content-Security-Policy: default-src self; report-uri http://reportcollector.example.com/collector.cgi
+</pre>
+
+<p>然后，你要搭建接受报告的服务器；它可以对报告进行存储和并进行适时的处理。</p>
+
+<p>注意：Firefox 23以前的版本所使用的报告头为 X-Content-Security-Policy。这个头在将来将被废弃。</p>
+
+<h2 id="攻击报告的语法">攻击报告的语法</h2>
+
+<p>报告的JSON对象包含了以下的数据:</p>
+
+<dl>
+ <dt><code>document-uri</code></dt>
+ <dd>当前攻击所发生的文档的URI。</dd>
+ <dt><code>referrer</code></dt>
+ <dd>当前攻击所发生的文档的来源页面的URI。</dd>
+ <dt><code>blocked-uri</code></dt>
+ <dd>被CSP策略所拦截的资源的URI。如果被拦截资源的URI属于与当前文档不同的来源，则所拦截的资源URI会被削减至只剩scheme,host和port三部分。</dd>
+ <dt><code>violated-directive</code></dt>
+ <dd>攻击所针对的策略部分的名称</dd>
+ <dt><code>original-policy</code></dt>
+ <dd>由X-Content-Security-Policy头指定的原始策略。</dd>
+</dl>
+
+<h2 id="Sample_violation_report">Sample violation report</h2>
+
+<h2 id="攻击报告的样例">攻击报告的样例</h2>
+
+<div>在CSP规范中，已经有一个样例展示攻击报告。这里我们来看另一个例子。</div>
+
+<div> </div>
+
+<div>假设有一个页面叫做<a class="external" href="http://example.com/signup.html" rel="freelink" style="font-family: Consolas, Monaco, 'Andale Mono', monospace;">http://example.com/signup.html</a>. 它使用了一下的策略，它禁止从除cdn.example.com以外的域加载样式表。</div>
+
+<div>
+<pre>Content-Security-Policy: default-src 'none'; style-src cdn.example.com; report-uri /_/csp-reports
+</pre>
+</div>
+
+<div>signup.html的HTML则像下面这样：</div>
+
+<pre class="brush: html">&lt;!DOCTYPE html&gt;
+&lt;html&gt;
+  &lt;head&gt;
+    &lt;title&gt;Sign Up&lt;/title&gt;
+    &lt;link rel="stylesheet" href="css/style.css"&gt;
+  &lt;/head&gt;
+  &lt;body&gt;
+    ... Content ...
+  &lt;/body&gt;
+&lt;/html&gt;
+</pre>
+
+<div><span style="line-height: 22.0080013275147px;">看到问题了么？在策略中指明样式表只能从cdn.example.com加载，而这个页面则试图从它本域（http://example.com）下载样式表. 浏览器基于强制CSP的开启，在这个页面被访问时，将以下的报告通过POST请求发送到 </span><a href="http://example.com/_/csp-reports" rel="freelink" style="font-family: Consolas, Monaco, 'Andale Mono', monospace;">http://example.com/_/csp-reports</a><span style="line-height: 22.0080013275147px;"> 下</span></div>
+
+<pre>{
+  "csp-report": {
+    "document-uri": "http://example.com/signup.html",
+    "referrer": "",
+    "blocked-uri": "http://example.com/css/style.css",
+    "violated-directive": "style-src cdn.example.com",
+    "original-policy": "default-src 'none'; style-src cdn.example.com; report-uri /_/csp-reports"
+  }
+}
+</pre>
+
+<p><span style="line-height: 22.0080013275147px;">我们可以看到，这个报告在blocked-uri中包含了错误资源的整个路径。而这并非总是这样。例如，当signup.html试图从</span><a href="http://anothercdn.example.com/stylesheet.css" style="text-decoration: underline;"><code>http://anothercdn.example.com/stylesheet.css</code></a><span style="line-height: 22.0080013275147px;">加载css的时候，浏览器只会记录来源(http://anothercdn.example.com)而不会记录完整的路径。CSP规范中对这一行为进行了</span><a href="http://www.w3.org/TR/CSP/#violation-reports">解释</a>。总结一下<span style="line-height: 22.0080013275147px;">，CSP的作用是放置跨域信息的泄露。值得注意的是，规范中的</span> <a href="http://www.w3.org/TR/CSP/#sample-violation-report">攻击报告范例</a> 有一处错误(其中blocked-uri应该是"http://evil.example.com")。</p>
+
+<h2 id="更多参考">更多参考</h2>
+
+<ul>
+ <li><a href="/en/Security/CSP/Introducing_Content_Security_Policy" title="en/Security/CSP/Introducing Content Security Policy">Introducing Content Security Policy</a></li>
+ <li><a href="/en/Security/CSP/Using_Content_Security_Policy" title="en/Security/CSP/Using Content Security Policy">Using Content Security Policy</a></li>
+ <li><a href="/en/Security/CSP/CSP_policy_directives" title="en/Security/CSP/CSP policy directives">CSP policy directives</a></li>
+</ul>
+
+<div class="noinclude">
+<p>{{ languages( { "ja": "ja/Security/CSP/Using_CSP_violation_reports" } ) }}</p>
+</div>
+
+<p> </p>