什么是 Permissions Policy（權(quán)限策略）？

Permissions Policy 為 web 開發(fā)人員提供了明確聲明哪些功能可以在網(wǎng)站上使用，哪些功能不能在網(wǎng)站上使用的機(jī)制?？梢栽O(shè)置一組策略，用于限制站點(diǎn)代碼可以訪問的 API 或者修改瀏覽器對某些特性的默認(rèn)行為。設(shè)置?Permissions-Policy?可以在代碼庫不斷演進(jìn)的同時(shí)強(qiáng)制執(zhí)行最佳實(shí)踐，同時(shí)更安全地組合第三方內(nèi)容。

Permissions Policy?類似于?Content Security Policy（CSP 內(nèi)容安全策略），但控制的是功能特性，而不是安全行為。

Permissions Policy?以前被稱為?Feature Policy，名稱已更改了，HTTP header 的語法也隨著更改了，所以如果以前使用了 Feature Policy，需要檢查下瀏覽器的支持情況，<iframe allow="…"> 語法保持不變。

Permissions Policy 用途

首先看幾個(gè)可以使用 Permissions Policy 的場景：

• 開發(fā)者可以限制或禁止對某些敏感 API 的使用，如攝像頭、麥克風(fēng)、地理位置等，有助于保護(hù)用戶的隱私，防止惡意網(wǎng)站濫用這些 API 收集用戶的個(gè)人信息。
• 可以限制對某些功能強(qiáng)大但存在潛在風(fēng)險(xiǎn)的 API 的訪問權(quán)限，如iframe、Service Worker、Notification等，可以減少惡意攻擊和跨站點(diǎn)腳本等網(wǎng)絡(luò)安全威脅。
• 可以用于改善用戶體驗(yàn)，例如通過禁用一些音視頻自動(dòng)播放或彈出式廣告等，減少對用戶的干擾。
• 可以提高程序的性能，例如項(xiàng)目在窗口中不可見后，停止相關(guān)的腳本執(zhí)行。

如何設(shè)置 Permissions Policy

有兩種方式來指定?Permissions Policy:

• 通過在 HTTP 響應(yīng)頭中添加 Permissions-Policy 字段來實(shí)現(xiàn)，可以指定一系列權(quán)限，每一個(gè)權(quán)限指定一個(gè)名稱和相關(guān)策略。例如，要禁用Web API 的攝像頭訪問權(quán)限，添加如下 header 內(nèi)容：

Permissions-Policy:camera=()

• 通過 <iframe> 的 allow 屬性，控制指定的 <iframe> 中的特性。例如允許 iframe 全屏：

<iframe src="https://example.com..." allow="fullscreen"></iframe>

常見的 Permissions Policy 權(quán)限

以下是常見的 Permissions Policy 示例：

• accelerometer：控制加速計(jì)訪問的權(quán)限。
• autoplay：控制自動(dòng)播放媒體資源的權(quán)限。
• camera：控制攝像頭訪問的權(quán)限。
• geolocation：控制地理位置訪問的權(quán)限。
• microphone：控制麥克風(fēng)訪問的權(quán)限。
• notifications：控制通知訪問的權(quán)限。
• payment：控制支付訪問的權(quán)限。
• sync-xhr：控制同步XHR請求的權(quán)限。

Permissions Policy 最佳實(shí)踐

以下是幾點(diǎn)使用 Permissions-Policy 的最佳實(shí)踐：

• 只授權(quán)應(yīng)用程序所需的最低權(quán)限，以避免潛在的風(fēng)險(xiǎn)。
• 使用 Permissions-Policy 前，務(wù)必進(jìn)行全面的功能性和兼容性測試，確保不會(huì)影響應(yīng)用程序的正常功能。
• 可以逐步引入和設(shè)置 Permissions-Policy，確保安全性的同時(shí)減少對現(xiàn)有應(yīng)用程序的影響。

小結(jié)

Permissions Policy 是一種強(qiáng)大而靈活的 Web API 權(quán)限控制機(jī)制，提供了更精確控制瀏覽器權(quán)限的能力。通過合理設(shè)置 Permissions Policy，可以保護(hù)用戶隱私、提高應(yīng)用程序的安全性和提供出色的用戶體驗(yàn)。關(guān)于?Permissions Policy 使用相關(guān)的更詳細(xì)的信息可以參考如下資料：

https://developer.mozilla.org/en-US/docs/Web/HTTP/Permissions_Policy