内容安全策略（Content Security Policy，简称CSP）是一种重要的Web安全机制，旨在防止跨站脚本攻击（XSS）等安全问题。通过配置CSP，可以限制网页中可以加载的外部资源，从而降低XSS攻击的风险。本文将详细介绍CSP的配置方法，以及如何利用CSP来防御XSS注入。

CSP基础

CSP通过HTTP头部信息中的Content-Security-Policy字段来定义，它可以包含多个指令，每个指令都有其特定的用途。以下是一些常见的CSP指令：

• default-src：指定哪些源可以加载资源，如图片、脚本等。
• script-src：指定哪些源可以加载脚本。
• img-src：指定哪些源可以加载图片。
• style-src：指定哪些源可以加载样式表。
• font-src：指定哪些源可以加载字体。

配置CSP

要配置CSP，首先需要在服务器端设置相应的HTTP头部。以下是一个简单的CSP配置示例：

在这个示例中，default-src ‘self’ 表示只允许加载当前域名下的资源。script-src ‘self’ https://apis.example.com 表示允许加载当前域名下的脚本以及来自https://apis.example.com的脚本。img-src ‘self’ https://images.example.com 表示允许加载当前域名下的图片以及来自https://images.example.com的图片。

防御XSS注入

XSS攻击通常通过在网页中注入恶意脚本实现。通过配置CSP，可以限制脚本来源，从而降低XSS攻击的风险。以下是一些防御XSS注入的CSP配置技巧：

1. 限制脚本来源：使用script-src指令指定可信的脚本来源，只允许加载经过验证的脚本。

2. 禁止加载不安全的资源：通过default-src、img-src、style-src等指令禁止加载不安全的资源，如禁止加载未经验证的图片、样式表等。

3. 使用script-src-eval指令：script-src-eval指令允许在网页中执行内联脚本。然而，由于内联脚本更容易受到XSS攻击，因此建议谨慎使用该指令。

4. 使用report-uri指令：report-uri指令可以将CSP违反报告发送到指定的URL。通过分析这些报告，可以及时发现并修复CSP配置问题。

总结

CSP是一种强大的Web安全机制，可以帮助我们限制外部资源加载，从而降低XSS攻击的风险。通过合理配置CSP，可以有效保护网站安全。在实际应用中，我们需要根据实际情况调整CSP配置，以确保既能防止安全风险，又不会影响网站的正常使用。