在Rails静态页面中配置Content Security Policy（CSP）头部

1. 配置位置及操作步骤 #

得在Nginx里配置——原因很简单：public文件夹下的404.html这类静态页面是Nginx直接返回的，不会经过Rails的请求处理流程，所以Rails里的配置管不到它们。具体操作如下：

• 找到站点对应的Nginx配置文件，一般在/etc/nginx/sites-available/或/etc/nginx/conf.d/目录下
• 针对静态HTML文件添加CSP头部，比如在处理静态文件的location块中配置：

  location ~* \.(html|htm)$ {
    add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self';";
    # 这里的规则可以和你Rails中配置的CSP保持一致
  }
  

  如果是专门处理错误页面的场景，也可以这么写：

  error_page 404 /404.html;
  location = /404.html {
    add_header Content-Security-Policy "你的CSP规则内容";
    internal;
  }
  

• 配置完成后，先执行nginx -t检查配置是否合法，确认无误后运行systemctl reload nginx让配置生效。

2. 是否有必要添加CSP头部 #

当然有必要，理由如下：

• 合规要求：第三方审计已经指出这个问题，不修复会不符合合规标准，可能影响业务资质审核或合作推进。
• 安全防护：别觉得静态页面简单就没风险，一旦页面被篡改注入恶意脚本，CSP能直接限制脚本执行，避免XSS攻击危害用户浏览器环境。
• 策略统一：保持全站所有页面的安全策略一致，不会留下安全防护的死角。

内容的提问来源于stack exchange，提问作者The Fabio