Почему Facebook отключил защиту от XSS-атак?

Question

[Page-Audit.ru]

Добрый!

Обратил внимание, что Facebook в HTTP-заголовке ответа указывает x-xss-protection: 0, что формально должно отключать встроенную в браузер пользователя защиту от XSS-атак.
При этом в заголовке content-security-policy для script-src разрешены "небезопасные" 'unsafe-inline' 'unsafe-eval'.
И, опять же, сам FB следит, чтобы его не пытались "ломать":


В чём логика FB или как он на самом деле защищается от XSS?

Answer 1

[Page-Audit.ru]

Итак, спасибо Евгению Глебову за комментарии. Теперь всё стало понятно.

Защита с помощью заголовка (и соответствующей технологии) X-XSS-Protection скомпрометирована и создаёт ложное ощущение защищённости. В любом из режимов 0 или 1; mode=block реализуемы XS-атаки.

Разработчикам рекомендовано:
- явно отключить защиту, установив директиву 0,
- перейти к использованию защиты, используя заголовок Content-Security-Policy,
- самостоятельно обеспечить защиту сайта от XSS-атак.