XSS攻击防护CSP策略，Nginx配置内容安全策略
XSS（跨站脚本攻击）是网站最常见的安全威胁之一，攻击者通过在页面注入恶意脚本窃取用户数据。
CSP（内容安全策略）是一种由浏览器执行的防护机制，通过白名单限制脚本、样式等资源的加载来源，从源头阻断XSS攻击。
本文面向零基础用户，手把手教你在Nginx中配置CSP策略，提升网站安全性。
开始前的环境确认
在配置CSP之前，需要确认以下条件：
- 你拥有Nginx服务器的管理权限，能够修改配置文件并重启服务。
- 网站已经启用HTTPS（CSP策略在HTTPS下效果更佳，但HTTP也能用）。
- 熟悉Nginx配置文件的基本结构，通常位于
/etc/nginx/nginx.conf或/etc/nginx/conf.d/目录下。
如果使用宝塔面板，可以在“网站”->“设置”->“配置文件”中直接编辑。
理解CSP的核心指令
CSP通过HTTP响应头Content-Security-Policy来定义策略，常用指令如下：
default-src：默认资源加载策略，未单独指定的指令会继承此值。script-src：限制JavaScript的来源，是防御XSS的关键。style-src：限制CSS样式来源。img-src：限制图片加载来源。connect-src：限制Ajax、WebSocket等连接来源。
例如，script-src 'self'表示只允许加载同源脚本，内联脚本（``）会被阻止。
在Nginx中配置CSP响应头
Nginx通过add_header指令添加CSP头。
打开站点配置文件，在server块或location块中添加：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://trusted.cdn.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;" always;说明：
always确保所有响应（包括错误页）都带上该头。- 示例中允许同源脚本和来自
https://trusted.cdn.com的脚本。 'unsafe-inline'允许内联样式，但为了安全，建议逐步移除。
保存后，执行nginx -t测试配置，然后nginx -s reload重载。
配置过程中的常见坑
- CSP导致页面功能失效：如果网站使用了内联脚本或eval，需要添加
'unsafe-inline'或'unsafe-eval'，但这会降低安全性。建议先使用Content-Security-Policy-Report-Only模式观察，确认无误后再强制。 - CDN或第三方资源被拦截：检查
script-src、style-src等是否包含了所有必要域名。 - 多个add_header冲突：Nginx中同名的
add_header会覆盖，确保没有其他位置重复设置CSP。 - 旧版浏览器兼容性：部分旧浏览器不支持CSP，但主流现代浏览器均支持。
如何验证CSP是否生效
- 浏览器打开开发者工具（F12），切换到“网络”选项卡，刷新页面。
- 点击主文档请求，查看响应头中是否包含
Content-Security-Policy。 - 在“控制台”中观察是否有CSP拦截报错，例如
Refused to load the script...。 - 如果使用了报告模式，可以配置
report-uri收集违规报告，但需注意该指令已逐渐被report-to取代，建议以官方文档为准。
策略优化建议
初期建议使用Content-Security-Policy-Report-Only头，只报告不拦截，收集一周数据后再切换为强制模式。
逐步收紧策略，例如移除'unsafe-inline'，改用nonce或hash。
如果网站使用宝塔面板，可在“网站”->“设置”->“响应头”中添加CSP，但手动修改配置文件更灵活。
CSP不是万能的，需结合输入过滤、输出转义等措施。
但正确配置Nginx内容安全策略能显著降低XSS风险。
常见疑问
CSP会影响SEO吗？
合理配置不会影响搜索引擎抓取，但若错误拦截了必要资源可能导致页面渲染异常，间接影响收录。
是否所有网站都需要CSP？
对安全性要求较高的站点建议启用，个人博客可酌情使用报告模式。
CSP和WAF有什么区别？
CSP在浏览器端执行，WAF在服务器端拦截，两者互补，可同时部署。
配置完成后，记得用在线CSP评估工具（如Google CSP Evaluator）检查策略强度。
安全是一个持续过程，建议定期复查。
