如何在Apache中配置内容安全策略拦截外部表单提交？

你当前配置的Content-Security-Policy: form-action 'self'是浏览器端的防护机制，它只能限制你自己站点页面中的表单不能提交到外部域名，但无法阻止外部站点主动构造POST请求发送到你的服务器——因为外部站点的页面不受你的CSP规则约束，Brave浏览器不会拦截这种跨站提交行为。

要真正拦截所有外部来源的表单提交，需要在服务器端做验证，以下是两种可行方案：

方案1：通过Apache mod_rewrite检查Referer头 #

启用mod_rewrite后，在VirtualHost配置中添加规则，只允许来自本站的Referer（或兼容无Referer的合法请求，比如部分隐私浏览器会屏蔽Referer）：

<IfModule mod_rewrite.c>
    RewriteEngine On
    # 针对表单提交的目标URL（替换为你的实际表单处理路径，比如/submit.php）
    RewriteCond %{REQUEST_URI} ^/submit.php$
    # 允许无Referer的请求（可选，适配隐私模式）
    RewriteCond %{HTTP_REFERER} !^$
    # 拒绝非本站域名的Referer（替换为你的实际域名）
    RewriteCond %{HTTP_REFERER} !^https?://your-domain.com/ [NC]
    # 拦截非法请求，返回403 Forbidden
    RewriteRule ^ - [F,L]
</IfModule>

方案2：实现CSRF令牌验证（更可靠） #

这是最安全的拦截方案，原理是给每个合法表单生成唯一令牌，服务器只接收携带有效令牌的请求：

1. 在你的表单页面中，生成并输出一个隐藏的CSRF令牌字段：

<input type="hidden" name="csrf_token" value="服务器生成的随机唯一令牌">

2. 在服务器端的表单处理脚本中，验证请求中的csrf_token是否与当前会话存储的令牌一致，不一致则直接拒绝请求。

补充说明 #

你之前配置的CSP规则依然有价值，它可以防止你的站点页面被XSS攻击后，表单被劫持提交到外部域名，但无法解决外部站点主动提交的问题，必须结合服务器端验证才能彻底拦截。

内容的提问来源于stack exchange，提问作者Michael Bernardo