能否为CDN配置CSP安全头？如何阻止第三方盗链图片资源？

答案是不能直接通过CDN域名的CSP头实现这个需求，原因如下：

• CSP（内容安全策略）是由提供HTML页面的服务器返回的安全规则，作用是约束该页面内所有资源的加载行为。当攻击者的https://attacker.com页面嵌入你的CDN图片时，约束这个图片加载的是attacker.com页面自身的CSP，而非你的CDN返回的CSP——你的CDN返回的CSP仅在用户直接访问CDN图片资源时生效，对第三方页面的嵌入行为没有约束力。

要阻止第三方盗链你的CDN图片，更有效的方案是：

• 配置CDN防盗链规则：在CDN后台设置Referer白名单，只允许你的主站https://example.com（以及其他合法来源）请求图片，非白名单来源的请求直接返回403或占位图。
• 配合Referrer-Policy头：在主站页面添加Referrer-Policy: strict-origin-when-cross-origin之类的头，确保主站请求CDN图片时能发送正确的Referer信息，让CDN的防盗链规则能正常识别合法请求。

内容的提问来源于stack exchange，提问作者Vjerci