内容安全策略（CSP）详解

大家好，欢迎来到IT知识分享网。

内容安全策略（CSP），其核心思想十分简单：网站通过发送一个 CSP 头部，来告诉浏览器什么是被授权执行的与什么是需要被禁止的。其被誉为专门为解决XSS攻击而生的神器。

1.CSP是什么

CSP指的是内容安全策略，为了缓解很大一部分潜在的跨站脚本问题，浏览器的扩展程序系统引入了内容安全策略（CSP）的一般概念。这将引入一些相当严格的策略，会使扩展程序在默认情况下更加安全，开发者可以创建并强制应用一些规则，管理网站允许加载的内容。简单来说，就是我们能够规定，我们的网站只接受我们指定的请求资源。

2. CSP的意义

防XSS等攻击的利器。CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。CSP 大大增强了网页的安全性。攻击者即使发现了漏洞，也没法注入脚本，除非还控制了一台列入了白名单的可信主机。

3.CSP的分类

（1）Content-Security-Policy
配置好并启用后，不符合 CSP 的外部资源就会被阻止加载。
（2）Content-Security-Policy-Report-Only
表示不执行限制选项，只是记录违反限制的行为。它必须与report-uri选项配合使用。

4.CSP的使用

（1）在HTTP Header上使用（首选）

"Content-Security-Policy:" 策略 "Content-Security-Policy-Report-Only:" 策略 

（2）在HTML上使用

<meta http-equiv="content-security-policy" content="策略"> <meta http-equiv="content-security-policy-report-only" content="策略"> 

5.策略应该怎么写

（1）举个例子

// 限制所有的外部资源，都只能从当前域名加载 Content-Security-Policy: default-src 'self' 

// default-src 是 CSP 指令，多个指令之间用英文分号分割；多个指令值用英文空格分割 Content-Security-Policy: default-src https://host1.com https://host2.com; frame-src 'none'; object-src 'none' 

// 错误写法，第二个指令将会被忽略 Content-Security-Policy: script-src https://host1.com; script-src https://host2.com // 正确写法如下 Content-Security-Policy: script-src https://host1.com https://host2.com 

// 通过report-uri指令指示浏览器发送JSON格式的拦截报告到某个地址
Content-Security-Policy: default-src 'self'; ...; report-uri /my_amazing_csp_report_parser; 

// 报告看起来会像下面这样
{  
  "csp-report": {  
    "document-uri": "http://example.org/page.html",  
    "referrer": "http://evil.example.com/",  
    "blocked-uri": "http://evil.example.com/evil.js",  
    "violated-directive": "script-src 'self' https://apis.google.com",  
    "original-policy": "script-src 'self' https://apis.google.com; report-uri http://example.org/my_amazing_csp_report_parser"  
  }  
}  

（2）常用的CSP指令

（3）其他的CSP指令

（4）CSP指令值

6.支持问题

（1）CSP1兼容性
浏览器可以很好地支持 CSP 1，全球高达94.66%，中国达到79.55%（截至2018年4月12日）。

（2）CSP2兼容性
CSP 2还很新，支持相对少点，全球达81.11%，中国达到60.04%（截至2018年4月12日）。