网站安全是每个网站运营者都必须重视的问题。跨站脚本攻击（XSS）是一种常见的网络安全威胁，它允许攻击者注入恶意脚本到合法站点的网页中，从而攻击其他访问者。为了防范这种攻击，W3C（万维网联盟）推出了内容安全策略（Content Security Policy，简称CSP），这是一种非常有效的安全防护手段。本文将详细介绍W3C CSP的配置方法，帮助您轻松防范跨站脚本攻击。
一、什么是W3C CSP？
W3C CSP是一种由网站或应用程序发送的HTTP头部，用于控制页面可以加载和执行哪些资源。通过CSP，网站管理员可以指定哪些源可以加载脚本、样式表、图片等资源，从而减少XSS攻击的风险。
二、CSP的工作原理
当浏览器接收到CSP头部后，会根据其中的规则来判断当前页面中加载的资源是否符合规则。如果发现某个资源不符合规则，浏览器会拒绝加载该资源，从而阻止恶意脚本的执行。
三、CSP的基本配置
以下是CSP的基本配置，包括禁止加载所有外部脚本、样式表和图片：
Content-Security-Policy: default-src 'none'; script-src 'none'; style-src 'none'; img-src 'none';
这个配置意味着，页面将不允许加载任何外部资源。如果您想启用部分资源，可以将对应的规则改为允许。
四、CSP常用配置详解
1. script-src
script-src规则用于指定页面可以执行的脚本来源。以下是一些常用的配置：
script-src 'self': 允许加载自身域名下的脚本。script-src 'self' https://trusted-source.com: 允许加载自身域名下的脚本以及来自trusted-source.com的脚本。script-src 'unsafe-inline': 允许加载页面内联脚本。
2. style-src
style-src规则用于指定页面可以加载的样式表来源。以下是一些常用的配置：
style-src 'self': 允许加载自身域名下的样式表。style-src 'self' https://trusted-source.com: 允许加载自身域名下的样式表以及来自trusted-source.com的样式表。style-src 'unsafe-inline': 允许加载页面内联样式。
3. img-src
img-src规则用于指定页面可以加载的图片来源。以下是一些常用的配置：
img-src 'self': 允许加载自身域名下的图片。img-src https://trusted-source.com: 允许加载来自trusted-source.com的图片。
4. other-src
other-src规则用于指定页面可以加载的其他资源来源，例如字体、音频和视频等。以下是一些常用的配置：
other-src 'self': 允许加载自身域名下的其他资源。other-src https://trusted-source.com: 允许加载来自trusted-source.com的其他资源。
五、CSP最佳实践
- 禁止加载所有外部资源，只允许信任的源。
- 使用
Content-Security-Policy-Report-Only头部进行测试，确保配置正确无误。 - 使用
nonce或csp-report-only等特性提高CSP的实用性。 - 定期更新CSP规则，以应对新的安全威胁。
通过以上介绍，相信您已经对W3C CSP有了初步的了解。在实际应用中，根据网站的具体需求，灵活配置CSP规则，可以有效防范跨站脚本攻击，保障网站安全。