CSP 内容安全策略是什么？它能防什么？

简化版

CSP 是浏览器提供的内容安全策略，通过 HTTP 响应头限制页面可以加载哪些脚本、样式、图片、字体等资源。它能降低 XSS、数据注入和恶意资源加载风险，但不能替代输入校验和输出转义。

CSP 常通过响应头配置：

Content-Security-Policy: default-src 'self'; script-src 'self'

常见指令：

CSP 可以禁止内联脚本、限制第三方脚本来源、上报违规行为。它是重要防线，但配置过严可能影响业务资源加载。

XSS 的危险在于攻击者让页面执行了不该执行的脚本。CSP 的思路是提前告诉浏览器：“只有这些来源的脚本能执行，其它都不行。”

这样即使页面出现了注入点，攻击脚本也可能因为违反策略而无法执行。

最基础的配置是只允许同源资源：

Content-Security-Policy: default-src 'self'

如果业务需要加载 CDN 脚本，就要显式加入可信域名。

对于脚本安全，可以减少或禁止 'unsafe-inline'。如果确实需要内联脚本，可以考虑 nonce 或 hash 机制。

CSP 不能修复所有安全问题。它不能替代服务端鉴权，也不能替代富文本过滤。

如果策略配置过松，比如允许所有脚本来源，效果会很弱。配置过严又可能导致页面资源加载失败。因此它需要结合业务资源清单逐步上线。

面试官可能问：“CSP 如何灰度上线？”

可以先使用 Content-Security-Policy-Report-Only，只上报违规但不拦截资源。观察一段时间后修正规则，再切换到正式拦截模式。

工程中要把第三方脚本纳入治理，避免任何业务都随意加外链脚本。

仅按域名列白名单可能仍信任被攻陷的第三方脚本。严格 CSP 更常围绕每次响应生成的 nonce 或静态脚本 hash 建立执行授权：

Content-Security-Policy: script-src 'nonce-r4Nd0mValue' 'strict-dynamic'; object-src 'none'; base-uri 'none'

nonce 必须由服务端使用足够随机性生成，不能写死或按用户可预测信息计算。给可信入口脚本 nonce 后，strict-dynamic 可让支持它的浏览器信任该脚本动态加载的后续脚本，减少庞大域名名单。

CSP 是浏览器执行层的纵深防线：根治注入仍靠上下文编码和安全 DOM API，CSP 用来限制漏网内容能做什么。

存量站点可先运行 7 天 Content-Security-Policy-Report-Only，统计违反指令、资源地址和页面版本。若每天 100 万次访问产生 5 万条同一扩展插件报告，应在采集端聚合采样，而不是直接放宽策略。

Content-Security-Policy-Report-Only: default-src 'self'; script-src 'nonce-...'; report-to csp-endpoint

验收不只是“页面能打开”：尝试插入无 nonce 的内联脚本应被拦截；合法 nonce 脚本应执行；图片、接口、frame 分别受 img-src、connect-src、frame-src 控制；页面是否能被嵌入则看 frame-ancestors。

报告可能含页面地址等敏感信息，采集端要做权限、保留周期和脱敏。切换正式策略时分页面灰度，并保留回滚能力，避免一次配置错误造成全站白屏。