什么是内容安全策略 (CSP)？

内容安全策略是一个 HTTP 响应头，告诉浏览器网页上允许加载哪些资源。它通过限制脚本、样式、图片和其他资源的来源来防止跨站脚本攻击 (XSS)、点击劫持和其他代码注入攻击。没有 CSP，浏览器会加载页面中引用的任何资源，包括攻击者注入的恶意脚本。

仅报告模式和强制模式有什么区别？

Content-Security-Policy-Report-Only 发送违规报告但不阻止任何资源，适合安全测试。Content-Security-Policy 强制执行策略并阻止违规。始终从仅报告模式开始，识别页面需要的所有合法资源，然后再切换到强制模式。

CSP 能否替代输入验证？

不能。CSP 是纵深防御层，不能替代输入验证和输出编码。你仍应清理所有用户输入、转义输出并遵循安全编码实践。CSP 提供额外的安全网，在发现 XSS 漏洞时限制损害，但它不应是你唯一的防线。

如何在强制执行前测试 CSP？

使用 Content-Security-Policy-Report-Only 在不破坏网站的情况下测试你的策略。配置 report-uri 端点来收集违规报告。在足够长的时间内（数天或数周）监控报告以识别所有合法资源。通过向策略添加必要的来源来修复任何违规。一旦不再出现合法违规，切换到强制执行头。

CSP 会破坏我的网站吗？

是的，配置不当的 CSP 可能阻止合法资源，导致功能损坏、图片缺失、API 调用失败和脚本不工作。这就是为什么你应该始终先用仅报告模式测试，然后逐步收紧策略。使用 'unsafe-inline' 或 'unsafe-eval' 会削弱保护，但对于遗留应用可能是必要的。

内容安全策略 (CSP) 指南：保护你的网站

跨站脚本攻击 (XSS) 仍然是最普遍的 Web 漏洞之一，持续位列 OWASP Top 10 之中。尽管已有数十年的安全意识，XSS 攻击仍在危害网站，因为输入验证和输出编码等传统防御手段并非万无一失。内容安全策略 (CSP) 提供了强大的额外防御层，通过告诉浏览器哪些资源被允许在页面上加载和执行。正确配置后，CSP 可以通过阻止未授权脚本的执行来完全中和 XSS 攻击。本指南涵盖了从理解指令到构建和部署生产就绪策略的所有内容。

什么是内容安全策略？

内容安全策略是一个 HTTP 响应头（或 meta 标签），允许网站运营者声明浏览器可以加载的已批准内容来源。它作为白名单运行：任何未被策略明确允许的资源都会被阻止。这种机制防止攻击者向你的页面注入恶意脚本、样式或其他资源，即使他们找到了在应用中插入 HTML 的方法。