如何阻止外部脚本触发顶级导航？现有CSP方案是否足够？

我们网站中，广告服务商提供的外部JavaScript脚本偶尔会将用户引导至恶意站点。这些脚本形式多样，有时会创建iframe展示广告，有时则直接在主页面中展示。我们希望安全阻止任何外部脚本触发顶级导航，无论该脚本是在iframe内还是主页面中执行。目前的解决方案是在每个响应中添加CSP sandbox头：

header( 'Content-Security-Policy: sandbox allow-downloads allow-forms allow-modals allow-pointer-lock allow-popups allow-popups-to-escape-sandbox allow-same-origin allow-scripts allow-storage-access-by-user-activation allow-top-navigation-by-user-activation allow-top-navigation-to-custom-protocols;' );

该策略通过省略sandbox allow-top-navigation头来阻止顶级导航。请问此方案是否足以阻止顶级导航？是否有更优实现方式？

现有方案是否足以阻止顶级导航？ #

不够。当前的CSP规则存在两个明显漏洞：

• 包含allow-top-navigation-by-user-activation：如果恶意广告脚本把跳转逻辑伪装成用户可交互元素（比如假按钮），诱导用户点击或触摸，依然能触发顶级导航跳转到恶意站点。
• 包含allow-top-navigation-to-custom-protocols：允许脚本跳转到自定义协议（如tel:、mailto:甚至恶意自定义协议），存在被利用发起攻击的风险。

更优实现方式 #

1. 收紧CSP sandbox规则 #

直接移除allow-top-navigation-by-user-activation和allow-top-navigation-to-custom-protocols，只保留业务必需的权限，调整后的代码如下：

header( 'Content-Security-Policy: sandbox allow-downloads allow-forms allow-modals allow-pointer-lock allow-popups allow-popups-to-escape-sandbox allow-same-origin allow-scripts allow-storage-access-by-user-activation;' );

这样可以彻底阻断所有脚本触发的顶级导航，无论是否有用户交互。如果业务确实需要允许特定的合法用户触发跳转，建议通过白名单方式单独处理，而非开放全局权限。

2. 将广告脚本隔离到独立iframe #

不要让广告脚本直接在主页面执行，全部放在独立的iframe中，并给iframe设置严格的sandbox属性，示例：

<iframe sandbox="allow-scripts allow-popups" src="广告服务商的URL"></iframe>

这种隔离方式可以让广告脚本无法直接操控主页面的导航逻辑，即使存在恶意代码，其影响范围也被限制在iframe内部。

3. 从源头上管控广告脚本 #

• 定期审计广告服务商提供的脚本，过滤掉包含可疑跳转逻辑的代码片段。
• 配合CSP的script-src指令，仅允许信任的广告域名加载脚本，减少不可信脚本的加载机会，示例：

header( 'Content-Security-Policy: script-src 'self' trusted-ad-domain-1.com trusted-ad-domain-2.com; sandbox allow-downloads allow-forms allow-modals allow-pointer-lock allow-popups allow-popups-to-escape-sandbox allow-same-origin allow-scripts allow-storage-access-by-user-activation;' );

内容的提问来源于stack exchange，提问作者Abid