# 管理內容安全性政策 (Content Security Policy) (CSP)
控制並管理 Qlik Cloud 中的內容安全性政策 (CSP)，以減少安全性威脅風險，例如跨網站指令碼 (XSS) 和資料插入攻擊。
Qlik Cloud 使用內容安全性政策 (CSP) 層級 2。CSP 透過限制應用程式、延伸和佈景主題可載入的外部資源，提供額外一層的安全性。透過限制允許的來源和資源類型，CSP 有助於防止惡意程式碼執行、資料竊取、網站破壞和惡意軟體散佈。
具備所需權限的管理員可以使用 CSP 來控制延伸和佈景主題可載入哪些外部資源。若延伸或佈景主題請求來自外部來源的資源，必須在 CSP 允許清單中明確新增這些來源。
如需更多關於 CSP 的資訊，請參閱 [MDN Web 文件，內容安全性政策 (CSP)](https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP)。
## 必要權限
若要管理內容安全性政策項目，您必須具備下列其中一項：
* 租用戶管理員角色
* 包含管理員 CSP 權限的自訂角色
## Directive (指示詞)
指令定義特定資源類型允許的來源。支援以下指示詞：
CSPCSP 指示詞
| Directive (指示詞) | 描述 |
| --- | --- |
| child-src | 定義使用 <frame> 和 <iframe> 等元素載入的網頁背景工作和巢狀瀏覽內容的有效來源。使用 frame-src 和 worker-src 進行更具體的控制。 |
| connect-src | 限制可使用指令碼介面載入的 URL。 |
| font-src | 指定使用 @font-face 載入之字型的有效來源。 |
| form-action | 限制可從指定內容作為提交目標使用的 URL。 |
| frame-ancestors | 使用 <frame>、<iframe>、<object>、<embed> 和 <applet> 元素指定內嵌資源的有效來源。 |
| frame-src | 指定使用 <frame> 和 <iframe> 等元素的巢狀瀏覽內容的有效來源。 |
| img-src | 指定影像和 favicon 的有效來源。 |
| media-src | 使用 <audio>、<video> 和 <track> 元素指定用於載入媒體的有效來源。 |
| object-src | 指定 <object>、<embed> 和 <applet> 元素的有效來源。
由 object-src 控制的元素被視為舊版 HTML 元素，且不會接收新的標準化功能 (例如安全性屬性 `sandbox` 或用於 <iframe> 的 `allow`)。若可能，建議限制此擷取指示詞，例如設定 object-src 'none'。 |
| script-src | 指定 JavaScript 的有效來源。 |
| style-src | 指定樣式表的有效來源。 |
| worker-src | 指定 Worker、SharedWorker 或 ServiceWorker 指令碼的有效來源。 |
## Qlik Cloud 預設 CSP
Qlik Cloud 包含預設內容安全性政策，其中包含一組允許清單網域。來自這些網域的資源可直接使用，無需新增 CSP 項目。
範例包括：
* \*.qlikcloud.com – 核心 Qlik Cloud 服務與 API
* cdn.pendo.io – 通知內容
* gravatar.com – 使用者設定檔圖示
請參閱 [將網域和 IP 位址列入允許清單](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Introduction/qlik-cloud-dns-ip.htm) 查看完整清單。
## CSP 項目和標頭限制
下列限制為內建，無法變更。如果您達到任一限制，請移除多餘或未使用的 CSP 項目。
* CSP 項目數上限：每個租用戶 256 個項目
* CSP 標頭長度上限：6,144 個字元
## 建立 CSP 輸入項目
請執行下列動作：
1. 在 管理 活動中心內，前往內容安全性政策 (Content Security Policy)。
2. 按一下新增。
3. 提供名稱。
4. 以下列格式之一輸入來源：
* domain.com
* \*.domain.com
資訊備註Qlik Sense 對 CSP 項目強制執行 HTTPS。
5. 選取適用的指示詞。
6. 按一下新增。
使用者必須重新整理瀏覽器才能讓變更生效。
## 編輯 CSP 輸入項目
請執行下列動作：
1. 在 管理 活動中心內，前往內容安全性政策。
2. 尋找您要編輯的 CSP 項目，按一下 the 編輯 icon，並選取。
3. 根據需要變更 CSP 選項。
4. 按一下儲存。
使用者必須重新整理瀏覽器才能讓變更生效。
## 刪除 CSP 輸入項目
請執行下列動作：
1. 在 管理 活動中心內，前往內容安全性政策。
2. 選取您要移除的 CSP 項目並按一下刪除。
3. 確認刪除。
## 檢視和複製 CSP 標頭
請執行下列動作：
1. 在 管理 活動中心內，前往內容安全性政策 (Content Security Policy)。
2. 按一下檢視標頭。
3. 在對話方塊中，按一下複製到剪貼簿。
4. 按一下完成。