REST API为何需要配置Content Security Policy（CSP）？

你的核心认知完全正确：Content Security Policy（CSP）本质是浏览器端的安全机制，它通过HTTP响应头向浏览器传递指令，限制页面可加载的资源来源、可执行的脚本范围，核心目的是防范XSS、点击劫持等浏览器层面的前端安全风险，本身并不直接作用于纯数据接口。

至于你疑惑的“纯REST API为何需要配置CSP”，可以从这几个角度理解：

• 冗余的默认配置：部分开发框架、部署工具会给所有HTTP响应自动添加CSP头，不管是前端页面还是纯数据API。这种配置属于冗余操作，对返回JSON的API来说没有任何实际作用，完全可以移除。
• 潜在的非预期浏览器访问：哪怕API设计为服务端间调用，也可能出现用户直接在浏览器地址栏访问、或前端误将其作为页面资源请求的情况。但此时浏览器拿到JSON响应后，不会解析执行其中的内容，CSP头在这里不会生效，配置了也毫无意义。
• 混淆安全策略：很多人会把CSP和CORS（跨域资源共享）搞混。纯REST API真正需要关注的是CORS——它用于控制哪些域名可以跨域请求你的API，这才是服务端需要处理的跨域安全规则，和CSP的作用场景完全不同。

总结：仅返回JSON、不涉及浏览器页面渲染的纯REST API完全不需要配置CSP，你的认知没有错误。如果遇到要求给这类API配置CSP的情况，大概率是对CSP的作用范围存在误解，或是工具默认的冗余配置。

内容的提问来源于stack exchange，提问作者barry