CSP

CSP（内容安全策略）用 HTTP 头声明允许加载的资源源，限制 XSS 与数据注入的攻击面。

用途

通过白名单限制页面可加载的资源源，防御 XSS 与内容注入。

机制

Content-Security-Policy 头声明指令：default-src 默认源、script-src 脚本源、style-src 样式源等。nonce 或 hash 允许内联脚本。report-uri 报告违规。严格 CSP 用 nonce + 严格动态。

用例

XSS 防御
第三方脚本限制
内联脚本控制
违规报告

示例

输入

script-src 'self' 'nonce-abc'

输出

Only same-origin and nonce-tagged scripts are allowed

Whitelisting

常见错误

An overly strict CSP breaks page functionality: Observe first with Report-Only mode

相关词条

CORS（跨源资源共享）是浏览器安全机制，用 HTTP 头控制网页能否访问不同源的资源，防止跨站读取。

XSS（跨站脚本）是攻击者将恶意脚本注入网页，在其他用户浏览器中执行的漏洞，分为存储型、反射型与 DOM 型。

Security Header

安全 HTTP 头是服务器响应中指示浏览器启用安全机制的头部，如 CSP、HSTS、X-Frame-Options 等。

Content Security Policy

内容安全策略（CSP）用 HTTP 头声明页面允许加载的资源源白名单，是防御 XSS 与内容注入的核心机制。

参考链接