Windows远程桌面访问时的内容安全策略(CSP)问题咨询

Windows远程桌面（尤其是安全会话）的RDS服务会自动注入会话控制相关的CSS/JS资源（比如窗口管理、剪贴板同步组件），这些资源不在你的CSP规则范围内，所以触发了仅报告模式的警告和错误。以下是具体的解决配置方案：

1. 针对性放宽CSP规则 #

允许RDS合法注入资源 #

优先从浏览器控制台的CSP报错信息里提取具体哈希值，添加到对应规则中，比直接开启'unsafe-inline'更安全：

• 复制报错日志里类似sha256-xxxxxx的哈希串，加到style-src或script-src规则里
• 部分RDS注入的样式使用data:协议，需要把data:加入style-src列表

Django-CSP配置示例 #

修改项目settings.py中的CSP设置：

CSP_STYLE_SRC = [
    "'self'",
    # 替换成你从报错里拿到的RDS样式哈希
    "'sha256-abcdef1234567890abcdef1234567890abcdef1234567890'",
    "data:",
]

CSP_SCRIPT_SRC = [
    "'self'",
    # 对应RDS注入脚本的哈希
    "'sha256-xyz1234567890xyz1234567890xyz1234567890xyz1234567890'",
]

2. 动态调整CSP（仅针对RDS会话） #

通过请求头识别RDS会话，只在这类请求下放宽CSP规则，避免全局降低站点安全性：

• RDS会话通常会携带X-RDS-SESSION-ID或X-Client-Name（值包含"Remote Desktop"）请求头
• 自定义Django中间件来动态修改CSP规则

自定义中间件示例 #

from django_csp.middleware import CSPMiddleware

class RDSCSPMiddleware(CSPMiddleware):
    def process_response(self, request, response):
        response = super().process_response(request, response)
        # 检测是否为RDS会话
        rds_session = 'X-RDS-SESSION-ID' in request.headers
        rds_client = 'Remote Desktop' in request.headers.get('X-Client-Name', '')
        if rds_session or rds_client:
            # 追加RDS相关规则
            current_csp = response.get('Content-Security-Policy', '')
            if current_csp:
                # 替换成实际的哈希值
                updated_csp = f"{current_csp} style-src 'sha256-abcdef1234567890' data:; script-src 'sha256-xyz1234567890';"
                response['Content-Security-Policy'] = updated_csp
        return response

然后在settings.py的MIDDLEWARE列表里，把原有的django_csp.middleware.CSPMiddleware替换成这个自定义中间件。

3. Nginx层补充配置 #

如果用Nginx做反向代理，也可以在Nginx配置里针对RDS请求头调整CSP：

location / {
    # 匹配RDS会话请求
    if ($http_x_rds_session_id) {
        add_header Content-Security-Policy "default-src 'self'; style-src 'self' 'sha256-abcdef1234567890' data:; script-src 'self' 'sha256-xyz1234567890';" always;
    }
    # 正常请求的CSP规则
    add_header Content-Security-Policy "default-src 'self'; style-src 'self'; script-src 'self';" always;
    
    proxy_pass http://your-gunicorn-upstream;
    # 其他代理配置...
}

注意事项 #

• 优先使用哈希值而非'unsafe-inline'，尽量保留CSP的安全防护能力
• 先在仅报告模式下收集所有报错的哈希，一次性添加避免遗漏
• 用虚拟机复现RDS场景，验证修改后警告/错误是否消失

内容的提问来源于stack exchange，提问作者pythonberg