Express 中设置 Permissions-Policy：禁用地理位置、摄像头和麦克风

问题场景

许多 Web 应用并不需要地理位置、摄像头或麦克风，但浏览器在用户授权后可能允许页面调用这些能力。如果页面存在 XSS、第三方脚本滥用或供应链风险，攻击者可能诱导用户授权，造成隐私泄露。Permissions-Policy 响应头让服务器声明页面允许使用哪些浏览器特性。把 geolocation、camera、microphone 的允许列表设为空，可以在策略层面拒绝这些能力，减少不必要的攻击面。

在 Express 中设置响应头

可以通过一个中间件全局设置。以下示例不依赖特定 Express 小版本，安装项目使用的 Express 即可。

const express = require('express');
const app = express();

// 禁用地理位置、摄像头、麦克风
app.use((req, res, next) => {
  res.setHeader(
    'Permissions-Policy',
    'geolocation=(), camera=(), microphone=()'
  );
  next();
});

app.get('/', (req, res) => {
  res.type('html').send(`
    <!doctype html>
    <html>
      <head><meta charset='utf-8'><title>Permissions-Policy 示例</title></head>
      <body>
        <h1>Permissions-Policy 已设置</h1>
        <p>打开开发者工具 Network 查看响应头。</p>
      </body>
    </html>
  `);
});

const port = process.env.PORT || 3000;
app.listen(port, () => {
  console.log(`Server listening on http://localhost:${port}`);
});

运行方法：

1. 新建项目目录，执行 npm init -y。
2. 安装 Express：npm install express。
3. 将上面代码保存为 server.js。
4. 启动服务：node server.js。
5. 验证响应头：curl -i http://localhost:3000/，查看是否包含 Permissions-Policy: geolocation=(), camera=(), microphone=()。也可以在浏览器 DevTools 的 Network 面板查看该请求的响应头。

语法与策略含义

Permissions-Policy 的值由多个指令组成，用逗号分隔。geolocation=() 表示允许列表为空，即没有源可以使用该特性。常见写法还有：

• geolocation=(self)：仅同源页面可用。
• geolocation=*：所有源可用，通常不建议。
• geolocation=(self https://example.com)：同源和指定源可用，多个源用空格分隔。

注意括号和逗号是策略语法的一部分。设置空列表后，页面中的 navigator.geolocation.getCurrentPosition 或 navigator.mediaDevices.getUserMedia 调用会被浏览器拒绝，不再弹出授权提示。

为什么能减少隐私泄露与攻击面

1. 即使前端代码中保留了定位或媒体采集逻辑，浏览器也会依据策略拒绝，降低误用和滥用风险。
2. 对 iframe 中的第三方内容，顶层文档的策略形成默认限制，第三方更难借 iframe 申请敏感权限。
3. 服务端统一设置，不依赖每个前端组件自行检查，减少遗漏。

边界与限制

• 仅对支持 Permissions-Policy 的浏览器生效；旧浏览器可能忽略，或只识别已废弃的 Feature-Policy。
• 对同源页面同样生效。如果应用自身需要摄像头，应改为 camera=(self)，而不是空列表。
• 只影响浏览器端的权限策略，不影响服务端 API 或非浏览器客户端。
• 如果页面确实需要这些权限，禁用后调用会失败或抛出异常，前端需要处理降级提示。
• 如果使用反向代理、CDN 或其他安全中间件，确认它们没有覆盖或删除该响应头；后设置的响应头会覆盖先设置的。
• iframe 的 allow 属性只能在父文档允许列表范围内进一步委托；父文档设为空列表时，子框架无法获得该权限。
• 该响应头不是身份认证或输入校验的替代品，仍需做好 XSS 防护、依赖审计和最小权限设计。

小结

在 Express 中用几行中间件即可设置 Permissions-Policy，禁用地理位置、摄像头和麦克风，适合不需要这些能力的页面。设置后建议用 curl 或浏览器 DevTools 验证响应头，并根据业务需要调整允许列表。