跨站脚本攻击（XSS）的进阶防御策略与内容安全策略（CSP）详解

1. 问题描述

XSS（跨站脚本攻击）是一种常见的安全漏洞，攻击者通过向网页注入恶意脚本，在用户浏览器中执行非预期代码，从而窃取数据、劫持会话或实施其他恶意行为。即使开发者已对输入进行转义，XSS仍可能通过动态内容加载、第三方库漏洞等途径发生。因此，需要更进阶的防御机制，如内容安全策略（CSP）。

2. XSS攻击类型回顾与防御局限

（1）XSS类型

• 存储型XSS：恶意脚本被存储到服务器（如评论区），用户访问时自动执行。
• 反射型XSS：恶意脚本通过URL参数传递，服务器返回时直接嵌入页面。
• DOM型XSS：前端JavaScript动态修改DOM时未过滤数据，导致脚本执行。

（2）传统防御的局限

• 仅依赖输入转义可能因遗漏或上下文错误（如HTML属性、JavaScript字符串）导致防御失效。
• 第三方库（如富文本编辑器）可能引入不可控的脚本执行。

3. 内容安全策略（CSP）的核心思想

CSP通过HTTP响应头（Content-Security-Policy）告诉浏览器哪些资源是允许加载和执行的，从而白名单机制阻断恶意内容。

4. CSP的逐步配置与原理

（1）基础语法

Content-Security-Policy: directive1 value1; directive2 value2;  

常用指令：

• default-src：默认资源加载策略（备用选项）。
• script-src：控制JavaScript的来源。
• style-src：控制CSS的来源。
• img-src：控制图片来源。
• connect-src：限制Ajax、WebSocket等连接的域名。
• font-src：字体文件来源。
• frame-src：嵌入框架（如<iframe>）的来源。

（2）启用CSP的示例

场景：仅允许本站资源和可信CDN的JavaScript，禁止内联脚本。

Content-Security-Policy: script-src 'self' https://cdn.example.com;  

• 'self'：允许当前域名下的资源。
• https://cdn.example.com：允许该CDN的脚本。
• 未明确允许的内联脚本（如<script>alert(1)</script>）会被浏览器阻止。

（3）处理内联脚本和样式

若必须使用内联脚本，可通过nonce或hash实现白名单：

• Nonce（一次性随机数）：

  <script nonce="abc123">alert("合法脚本");</script>  
  

  CSP头需包含：

  Content-Security-Policy: script-src 'nonce-abc123';  
  

  每次页面生成唯一的nonce值，攻击者无法预测。

• Hash（哈希值）：
  计算内联脚本的SHA256哈希值，将其加入CSP：

  Content-Security-Policy: script-src 'sha256-abc123...';  
  

5. CSP的进阶配置与安全优化

（1）阻断所有不安全资源

Content-Security-Policy: default-src 'self'; object-src 'none';  

• object-src 'none'：禁止Flash等插件，防止通过<object>标签绕过。

（2）启用违规报告

通过report-uri指令收集CSP拦截日志（用于调试和监控）：

Content-Security-Policy: default-src 'self'; report-uri /csp-report-endpoint;  

浏览器会将拦截的违规行为以JSON格式POST到指定端点。

（3）渐进式部署：使用Content-Security-Policy-Report-Only

仅报告违规但不阻塞资源，适用于测试阶段：

Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report;  

6. 其他进阶防御措施

（1）输入验证与上下文感知转义

• 根据输出位置（HTML、JavaScript、CSS）使用不同的转义库（如DOMPurify用于HTML清理）。

（2）HttpOnly Cookie

标记敏感Cookie为HttpOnly，防止通过JavaScript窃取：

Set-Cookie: sessionId=abc123; HttpOnly; Secure  

（3）沙箱化第三方内容

使用<iframe sandbox="allow-scripts">限制嵌入内容的权限。

7. 总结

• CSP通过白名单机制从根本上减少XSS风险，但需根据业务需求精细配置。
• 结合非内联脚本、HttpOnly Cookie等多层防御，形成纵深安全体系。
• 实际部署时建议先使用Report-Only模式观察影响，再逐步切换到强制执行。