CSP(Content Security Policy) 参考

在现代浏览器中通过声明新的 HTTP 返回头 Content-Security-Policy 帮助你减少 XSS 风险，并确定哪种动态资源允许被加载。

#浏览器支持

信息来源：caniuse.com/contentsecuritypolicy，caniuse.com/contentsecuritypolicy2 和 Mozilla

注意：需要知道的是 Content-Security-Policy 和 X-Content-Security-Policy 或 X-Webkit-CSP 在某些浏览器版本中不确定的行为，请避免使用不推荐的 X-* 返回头部。

#CSP 指令参考

Content-Security-Policy 头部值包含一个或多个指令（声明如下），多个指令需要使用分号 ; 分隔。该文档的编写基于 W3C: Content Security Policy 1.0

#来源列表参考

所有以 -src 结尾的指令提供相似的值来源。多个来源值可以使用空格分隔，但 none 是例外的，它只允许单独唯一值。

#CSP(Content-Security-Policy) 例子

这里有一些内容安全策略(CSP)的常用用法：

#允许来自相同源的任何资源

default-src 'self';

#仅允许来自相同源的脚本

script-src 'self';

#允许 Google Analytics，Google AJAX CDN 和相同源

script-src 'self' www.google-analytics.com ajax.googleapis.com;

#基本策略

该策略允许从相同源加载图片，脚本，AJAX 和 CSS，并且不允许其它来源的任何资源（如 object，frame，媒体，等等）。这是针对许多网站很好的策略。

default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';

#CSP(Content-Security-Policy) 错误信息

在 Chrome 中，当脚本违反内容安全策略(Content-Security-Policy)，你将在 Chrome 开发者工具中得到下面的信息：

Refused to load the script 'script-uri' because it violates the following Content Security Policy directive: "your CSP directive".

在 Firefox 中你可能在 Web 开发者工具中看到如下信息：

Content Security Policy: A violation occurred for a report-only CSP policy ("An attempt to execute inline scripts has been blocked"). The behavior was allowed, and a CSP report was sent.

除了控制台信息，亦会触发 securitypolicyviolation 事件。了解更多 w3.org。

#服务端配置

任何服务端编程环境都应该允许你发送自定义 HTTP 返回头。你也可以使用你的网络服务器发送返回头。

#Apache Content-Security-Policy 返回头

添加下面的代码到 httpd.conf 在你的 VirtualHost 或者一个 .htaccess 文件：

Header set Content-Security-Policy "default-src 'self';"

#Nginx Content-Security-Policy 返回头

在你的 server {} 块中添加：

add_header Content-Security-Policy "default-src 'self';";

也可以添加 always 到尾部以保证 nginx 忽略返回码发送返回头。

#IIS Content-Security-Policy 返回头

可以在 IIS GUI 中管理使用的 HTTP 返回头，或者添加下面的代码到你的 web.config：

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Content-Security-Policy" value="default-src 'self';" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

#CSP 资源

想要了解更多关于 CSP 的信息，阅读下面的链接：

• CSP 1.0 Spec
• CSP Level 2 Spec (W3C Recommendation, 15 December 2016)
• CSP Presentations / Slides
• Mozilla Tutorial: Implementing Content Security Policy
• Mozilla MDN Docs