JSP是否可以实现CSP nonce机制？

• 首先纠正你的误解：JSP确实只会在首次访问或者文件修改后编译成Servlet类，但编译完成后，每次HTTP请求过来都会执行这个Servlet的逻辑，完全支持每次请求动态生成新的nonce。

• 具体怎么实现？很简单：

  1. 在JSP里写一段Java代码，每次请求都生成一个随机的nonce（用SecureRandom生成足够长度的字节，再转成Base64字符串，保证随机性）。
  2. 把生成的nonce同时放到两个地方：
     • 响应头的Content-Security-Policy里，比如指定script-src 'nonce-xxx'；
     • 页面内的内联<script>标签上，加上nonce="xxx"属性。

• 给你个实际的例子：

<%@ page import="java.security.SecureRandom" %>
<%@ page import="java.util.Base64" %>
<%
    // 每次请求都生成新的nonce
    SecureRandom random = new SecureRandom();
    byte[] nonceBytes = new byte[16];
    random.nextBytes(nonceBytes);
    String nonce = Base64.getEncoder().encodeToString(nonceBytes);
    // 设置CSP响应头
    response.setHeader("Content-Security-Policy", "script-src 'nonce-" + nonce + "'; style-src 'self'");
%>
<!DOCTYPE html>
<html>
<head>
    <title>CSP Nonce 测试</title>
    <script nonce="<%= nonce %>">
        console.log("这个内联脚本因为带了正确的nonce，能正常执行");
    </script>
</head>
<body>
    <p>这是一个CSP Nonce的测试页面</p>
</body>
</html>

• 还有几个要注意的点：
  • 必须用SecureRandom生成nonce，别用普通的Random，不然随机性不够容易被破解；
  • 绝对不能把nonce存在Session里，必须每次请求都重新生成，不然复用nonce会失去CSP的安全作用；
  • 如果用Spring MVC这类框架，也可以在Controller里生成nonce，再传到JSP页面里渲染，逻辑是一样的，只是写法更优雅。

内容的提问来源于stack exchange，提问作者isobretatel