【什么是CSP】CSP，全称是“Content Security Policy”（内容安全策略），是一种用于增强Web应用安全性的重要机制。它通过定义网页可以加载哪些资源，防止跨站脚本攻击（XSS）等安全威胁。CSP是W3C推荐的标准之一，广泛应用于现代浏览器中。
一、CSP简介
CSP是一种HTTP响应头，由服务器发送给浏览器，告诉浏览器哪些外部资源（如脚本、样式表、图片、字体等）是可以信任并加载的。如果没有设置CSP，浏览器默认会加载所有合法来源的资源，这可能带来安全隐患。
CSP的核心目标是：
- 防止恶意脚本注入
- 限制资源加载来源
- 提高网站的安全性
二、CSP的作用与优势
| 功能 | 描述 |
| 防止XSS攻击 | 通过限制脚本来源，阻止恶意脚本执行 |
| 控制资源加载 | 明确允许或禁止某些类型的资源加载 |
| 提升安全性 | 减少因不安全代码导致的数据泄露风险 |
| 灵活配置 | 支持多种策略组合，适应不同应用场景 |
三、CSP的常见指令
CSP使用多个指令来定义策略，以下是一些常见的指令及其作用：
| 指令名称 | 说明 |
| `default-src` | 定义默认的资源加载策略，其他指令未指定时以此为准 |
| `script-src` | 定义允许加载脚本的源 |
| `style-src` | 定义允许加载样式表的源 |
| `img-src` | 定义允许加载图片的源 |
| `connect-src` | 定义允许发起网络请求的源 |
| `font-src` | 定义允许加载字体的源 |
| `frame-src` | 定义允许加载嵌套框架的源 |
| `object-src` | 定义允许加载插件（如Flash）的源 |
| `media-src` | 定义允许加载音频和视频的源 |
| `child-src` | 定义允许创建子级文档的源（已弃用） |
| `report-uri` | 指定当CSP策略被违反时，向该URL发送报告 |
四、CSP的部署方式
CSP可以通过以下几种方式部署：
1. HTTP响应头：最常见的方式，通过设置`Content-Security-Policy`头实现。
2. HTML `` 标签：适用于静态页面，但兼容性略差。
3. 服务器配置文件：如Apache、Nginx等服务器可通过配置文件设置CSP。
五、CSP的示例
一个简单的CSP配置如下：
```http
Content-Security-Policy: default-src 'self'; script-src 'self' https://example.com; style-src 'self' 'unsafe-inline';
```
此配置表示：
- 默认只允许从当前域名加载资源；
- 脚本只能来自当前域名和 `https://example.com`；
- 样式表可以来自当前域名，并允许内联样式（不推荐）。
六、CSP的注意事项
- 严格模式：建议尽量避免使用 `'unsafe-inline'` 和 `'unsafe-eval'`，以提高安全性。
- 测试与调试：在生产环境中启用CSP前，应先在开发环境进行充分测试。
- 报告机制：可使用 `report-uri` 或 `report-to` 来收集违规行为，便于后续分析与修复。
七、总结
CSP是一种有效的安全机制，通过限制网页加载资源的来源，显著降低XSS等攻击的风险。合理配置CSP不仅能提升网站的安全性，还能帮助开发者更好地管理前端资源。随着Web安全意识的提升，越来越多的网站开始采用CSP作为标准防护手段。
