网站动态CSP适配Cloudflare内联JS，ZAP仍报通配符指令错误如何解决？

我为网站配置了动态CSP，会为Cloudflare内联JavaScript动态生成nonce，代码可正常执行，但ZAP扫描报告仍针对这些Cloudflare内联脚本报通配符指令错误（告警标签：CWE-693, OWASP_2021_A05, OWASP_2017_A06）。

我的动态nonce及响应头代码如下：

if (!isset($_SESSION['nonce'])) {
    $_SESSION['nonce'] = base64_encode(random_bytes(16));
}
$nonce = $_SESSION['nonce'];

header("Content-Security-Policy: default-src 'self'; connect-src 'self'; script-src 'self' 'nonce-$nonce' https://challenges.cloudflare.com; style-src 'self' 'nonce-$nonce'  img-src 'self' data:; font-src 'self' data:;");

触发告警的Cloudflare内联脚本代码：

<script nonce="r3CeLtyhzGox9T5WkMPwUQ==">(function(){function c(){var b=a.contentDocument||a.contentWindow.document;if(b){var d=b.createElement('script');d.nonce='r3CeLtyhzGox9T5WkMPwUQ==';d.innerHTML="window.__CF$cv$params={r:'91700d89fd364c79',t:'MTc0MDQwNjM3MC4wMDAwMDA='};var a=document.createElement('script');a.nonce='r3CeLtyhzGox9T5WkMPwUQ==';a.src='/cdn-cgi/challenge-platform/scripts/jsd/main.js';document.getElementsByTagName('head')[0].appendChild(a);";b.getElementsByTagName('head')[0].appendChild(d)}}if(document.body){var a=document.createElement('iframe');a.height=1;a.width=1;a.style.position='absolute';a.style.top=0;a.style.left=0;a.style.border='none';a.style.visibility='hidden';document.body.appendChild(a);if('loading'!==document.readyState)c();else if(window.addEventListener)document.addEventListener('DOMContentLoaded',c);else{var e=document.onreadystatechange||function(){};document.onreadystatechange=function(b){e(b);'loading'!==document.readyState&&(document.onreadystatechange=e,c())}}}})();</script>

我已尝试多种CSP修改方式，但仍无法消除该通配符指令错误，请问问题出在哪？有何解决方案？是否需要移除JS验证才能让CSP生效？

1. 修复CSP头的语法错误 #

你的CSP头存在核心语法问题：style-src 'self' 'nonce-$nonce' img-src 'self' data: 部分未用分号分隔style-src和img-src指令，导致浏览器解析时会把img-src当成style-src的允许源，进而破坏整个CSP规则的有效性。正确写法需将每个指令用分号明确分隔，同时补充Cloudflare脚本加载的路径：

header("Content-Security-Policy: default-src 'self'; connect-src 'self'; script-src 'self' 'nonce-$nonce' https://challenges.cloudflare.com /cdn-cgi/challenge-platform/scripts/jsd/main.js; style-src 'self' 'nonce-$nonce'; img-src 'self' data:; font-src 'self' data:;");

2. 排查ZAP误报情况 #

ZAP的CSP扫描存在误报概率，尤其是针对Cloudflare这类第三方动态注入的脚本：

• 手动验证CSP实际有效性：打开浏览器开发者工具控制台，查看是否有CSP相关报错。如果无报错，说明CSP已正常生效，可将ZAP的该告警标记为误报；
• 若ZAP仍报错，可在扫描配置中添加对Cloudflare域名的信任规则，或调整CSP扫描的敏感度。

3. Cloudflare脚本的适配处理 #

不需要移除JS验证，可通过Cloudflare控制台调整脚本部署方式：

• 找到对应的安全验证（如Turnstile），切换为异步加载或非内联的部署模式，减少内联脚本的依赖；
• 确保Cloudflare的所有脚本加载路径都被包含在CSP的script-src指令中。

4. 优化nonce生成逻辑 #

当前代码将nonce存在SESSION中，同一会话内nonce不变，虽符合安全要求，但更严格的做法是每次请求生成新的nonce，进一步降低风险：

$nonce = base64_encode(random_bytes(16));
header("Content-Security-Policy: default-src 'self'; connect-src 'self'; script-src 'self' 'nonce-$nonce' https://challenges.cloudflare.com /cdn-cgi/challenge-platform/scripts/jsd/main.js; style-src 'self' 'nonce-$nonce'; img-src 'self' data:; font-src 'self' data:;");

同时确保响应头中的nonce值与页面内联脚本的nonce完全一致，包括大小写和特殊字符。

内容的提问来源于stack exchange，提问作者Aleksander Karabtsuk