网站内容安全策略CSP配置部署实战指南

一、什么是内容安全策略CSP

内容安全策略CSP是一种浏览器安全机制，通过HTTP响应头告诉浏览器允许加载哪些来源的资源。当页面试图加载不在白名单中的资源时，浏览器会直接阻止并生成违规报告。CSP可有效防御XSS攻击、数据注入、点击劫持等多种前端安全威胁。

CSP通过Content-Security-Policy响应头实现。配置格式为一系列指令和值的组合，每个指令控制一类资源的加载策略。推荐先从Content-Security-Policy-Report-Only模式开始，该模式下浏览器只报告违规行为而不实际阻止，适合在测试阶段验证策略正确性。

二、CSP常用指令与配置语法

CSP指令覆盖了Web页面的各类加载资源。script-src控制JavaScript脚本的来源，是最关键的指令，建议设置为严格来源如nonce或hash方式而非域名白名单。style-src控制CSS样式的加载来源。img-src控制图片来源。connect-src控制XMLHttpRequest和Fetch等网络请求的来源。frame-src控制iframe的嵌入来源。object-src建议设置为none以禁用插件加载。

每个指令的值可以是一个或多个来源表达式：自关键字指定当前域名来源，特定域名如trusted-cdn.example.com允许该域名下的资源，https指定仅允许HTTPS来源，none表示完全禁止，unsafe-inline允许内联代码但不推荐使用。

三、基于nonce的严格CSP配置

传统的域名白名单CSP已被证实不够安全，推荐采用基于nonce或hash的严格CSP。nonce是每次HTTP响应时服务器生成的一次性随机值，服务器在响应头中将nonce值加入script-src指令，同时内联脚本的script标签上需添加相同的nonce属性。浏览器会比对两处nonce值是否一致。

这种方案的优势在于只有服务器颁发过nonce的脚本才能执行，攻击者注入的脚本由于不知道nonce值会被浏览器阻止。配合哈希校验使用效果更佳，对于静态脚本可预先计算其哈希值加入CSP策略中。

四、CSP违规报告机制

CSP强大的地方在于它不仅能防御攻击，还能记录和报告攻击行为。通过report-uri或report-to指令配置报告接收端点，当浏览器阻止违规资源时会向指定地址发送JSON格式的违规报告。报告中包含被阻止的资源URL、触发的指令、违规页面URL和行号等关键信息。

生产环境下建议搭建专门的CSP报告收集服务或使用第三方服务接收报告。定期分析CSP报告可以发现新的攻击尝试或配置问题，并及时调整策略。需要注意的是报告可能较大，建议对频次和规模施加限制，防止报告收集接口被滥用。

五、CSP部署最佳实践

CSP的部署应该循序渐进。首先在开发环境启用Content-Security-Policy-Report-Only模式收集所有违规报告，根据报告调整策略直至无预期外的违规。然后将策略切换到强制模式并继续监控报告，定期审查和更新策略以适配业务变化。

部署过程中注意不要使用unsafe-inline和unsafe-eval，这两项会大幅削弱CSP的防护效果。强烈建议配合HTTPS使用，混合内容会在CSP中产生警告。对于第三方资源建议仔细评估其安全性，现代CSP三级规范已支持更细粒度的控制，建议及时跟进浏览器对新特性的支持情况。