内容安全策略（CSP）实现机制

1. CSP的基本概念
   内容安全策略是一种以HTTP响应头或<meta>标签形式声明的安全标准，用于精确控制网页内可加载资源的来源。其核心原理是"拒绝列表默认允许"转向"允许列表默认拒绝"，通过定义Content-Security-Policy头部，指示浏览器仅执行或渲染来自特定源的资源。例如：
   Content-Security-Policy: default-src 'self' 表示仅允许加载同源资源。

2. 策略指令的细化分类
   CSP通过细分指令实现对不同资源类型的管控：

   • script-src 控制JavaScript加载源（如 'self' https://apis.example.com）
   • style-src 管理CSS样式表来源
   • img-src 限制图像资源域名
   • connect-src 规范XMLHttpRequest、WebSocket等连接目标
   • 特殊关键字 'none' 完全禁止某类资源，'unsafe-inline' 允许内联代码（需慎用）

3. 非ces机制与哈希值应用
   为平衡安全性与开发需求，CSP提供两种绕过'unsafe-inline'的方案：

   • 随机数（Nonce）：服务器生成随机字符串注入内联脚本标签（如 <script nonce="abc123">），并在CSP头中声明 script-src 'nonce-abc123'
   • 哈希值（Hash）：计算内联脚本的SHA256哈希值，在策略中指定 script-src 'sha256-xxxx'。此方法适用于静态代码片段。

4. 违规报告机制
   通过 report-uri 或 report-to 指令配置违规上报端点：

   Content-Security-Policy: default-src 'self'; report-uri /csp-report
   

   当资源加载违反策略时，浏览器会自动向指定URL发送JSON格式报告，包含违规URL、触发指令等信息。开发阶段可先用 Content-Security-Policy-Report-Only 头模拟策略而不实际阻断。

5. 严格动态与框架沙箱

   • 'strict-dynamic' 指令支持通过可信脚本动态加载依赖链，兼容现代前端构建工具
   • 通过 frame-src 和 child-src 限制嵌入框架来源，结合 sandbox 属性限制iframe权限
   • 新增 require-trusted-types-for 指令强制实施Trusted Types API，防止DOM型XSS

6. CSP Level 3进阶特性
   最新规范引入：

   • ** workers控制**：worker-src 统一管理Worker、SharedWorker等线程资源
   • 预连接优化：通过 prefetch-src 控制资源预加载范围
   • 信任类型：强制使用Trusted Types包装危险DOM操作，实现编译时XSS防护

7. 部署实践与迁移策略
   推荐分阶段实施：

   • 先使用报告模式收集实际资源加载情况
   • 基于报告数据逐步构建允许列表，优先采用非ces和哈希替代内联代码
   • 对遗留系统可暂启用 unsafe-eval，后续通过代码重构逐步淘汰
   • 最终目标实现完整策略：禁用 unsafe-inline 和 unsafe-eval，并开启升级策略头