内容安全策略（CSP）：每个Web开发人员都必须知道的
内容提要
本文介绍了内容安全策略（CSP）的重要性和防御跨站脚本（XSS）攻击的方法。通过转义HTML字符和使用CSP，可以有效防止XSS攻击。文章还详细介绍了CSP头和nonce特性的使用，以及逐步实施严格的CSP和重构代码的方法。
延伸解读
CSP 如何阻断 XSS 攻击链
文章指出，XSS 攻击的根源在于浏览器会执行 HTML 中的内联 JavaScript。攻击者通过表单将恶意脚本注入数据库，当其他用户访问页面时，服务器将包含脚本的 HTML 发送给浏览器，浏览器误以为脚本来自可信服务器而执行。CSP 通过 HTTP 响应头指示浏览器阻止所有内联脚本，并仅允许从可信来源加载外部资源。即使攻击者成功注入脚本，浏览器也不会执行，从而切断了攻击链。
nonce 机制：平衡安全与内联需求
对于必须使用内联脚本或样式的场景，文章介绍了 nonce 特性。服务器为每个请求生成一个无法猜测的随机 base64 字符串，并将其插入到允许的内联 <script> 和 <style> 元素的 nonce 属性中，同时在 CSP 头的 script-src 和 style-src 指令里加入相同的 nonce 值。这样，只有携带正确 nonce 的内联代码才会被执行，攻击者因无法预测 nonce 而无法注入恶意脚本，避免了使用不安全的 'unsafe-inline' 指令。
遗留系统实施 CSP 的渐进策略
面对充满内联脚本的遗留代码库，直接启用严格 CSP 可能导致页面功能崩溃。文章建议先使用 Content-Security-Policy-Report-Only 头，让浏览器仅报告违规而不强制执行。开发者可以通过 report-to 指令收集违规数据，逐步重构代码，移除内联 JavaScript 和事件处理程序，将其移至外部文件，并为必要内联代码添加 nonce。通过迭代修复，最终过渡到强制执行的严格 CSP，确保平稳迁移。
Q&A
什么是内容安全策略（CSP）？
内容安全策略（CSP）是一种安全机制，用于防止跨站点脚本（XSS）攻击，通过限制浏览器执行的内容来源。
CSP如何防止XSS攻击？
CSP通过阻止内联脚本执行和提供可信内容源列表，防止恶意脚本的执行，从而有效防止XSS攻击。
如何实施严格的CSP？
可以通过设置Content-Security-Policy HTTP头，指定允许的脚本和样式来源，逐步实施严格的CSP。
什么是nonce特性，它如何在CSP中使用？
nonce特性是一个随机生成的字符串，用于允许特定的内联脚本和样式执行，同时阻止其他内联内容，从而增强CSP的安全性。
转义HTML字符如何帮助防止XSS攻击？
转义HTML字符可以将特殊字符替换为实体编码，防止浏览器将其作为代码执行，从而降低XSS攻击的风险。
如何处理遗留代码库中的CSP实施？
可以使用报告模式逐步实施CSP，先收集违规报告，再逐步修复代码，避免立即强制执行导致的问题。
