如何修复Nginx+Node.js中OWASP ZAP检测出的CSP中等漏洞

一、robots.txt的CSP未设置漏洞 #

问题根源 #

ZAP的检测逻辑是看访问/robots.txt时返回的响应头里有没有Content-Security-Policy（CSP），和你robots.txt里写没写Disallow规则完全没关系。你的Nginx配置里，location = /robots.txt这个单独的块没有继承全局的add_header规则（Nginx默认子location不会自动继承父级的add_header），所以访问这个文件时，响应里根本没带CSP头，直接触发了漏洞。

修复方法 #

修改Nginx里的location = /robots.txt块，要么让它继承全局的CSP配置，要么直接在这个块里加CSP头：

location = /robots.txt {
    root /var/www/html;
    log_not_found off;
    access_log    off;
    # 直接添加CSP，和全局配置保持一致就行
    add_header Content-Security-Policy "default-src 'self'; script-src 'report-sample' 'self'; style-src 'report-sample' 'self' https://cdn.jsdelivr.net https://fonts.googleapis.com; object-src 'none'; base-uri 'self'" always;
}

或者你也可以给全局的add_header都加上always参数，然后在子location里显式声明继承，但注意如果子location有自己的add_header，会覆盖父级的，所以统一配置更稳妥。

二、CSP通配符指令漏洞 #

问题根源 #

1. 重复配置冲突：你同时在Nginx和Helmet里配置了CSP，两个地方的规则可能叠加或者冲突，导致最终返回的CSP头出现异常，被ZAP判定为有通配符风险。
2. Nginx配置截断：你的Nginx里CSP的style-src后面的内容被截断成了https>，这会导致整个CSP指令无效，相当于没有限制，ZAP自然会检测出问题。
3. 潜在的默认规则问题：如果某个CSP指令没明确设置，浏览器会 fallback 到default-src的规则，但如果default-src配置不当，也可能被误判为通配符漏洞。

修复方法 #

1. 统一CSP配置入口

选Nginx或者Helmet其中一个来管CSP，别两边都配，避免冲突：

• 更推荐用Helmet：Helmet的CSP配置更灵活，还能自动处理一些细节。只要把Nginx里的add_header Content-Security-Policy这条删掉就行，让Helmet来返回CSP头。

2. 修复Nginx的截断配置（如果坚持用Nginx配CSP）

把截断的CSP内容补全，确保所有指令都完整，还要加always参数保证错误响应也带CSP：

add_header Content-Security-Policy "default-src 'self'; script-src 'report-sample' 'self'; style-src 'report-sample' 'self' https://cdn.jsdelivr.net https://fonts.googleapis.com; object-src 'none'; base-uri 'self'; connect-src 'self'; font-src 'self' https://cdn.jsdelivr.net https://fonts.gstatic.com; img-src 'self' https://res.cloudinary.com;" always;

3. 检查并清理通配符

确保所有CSP指令里都没有用*通配符，除非你确实需要。你的Helmet配置里已经没通配符了，但修复后要去浏览器Network面板看实际返回的CSP头，确认没有意外的通配符出现。

额外提醒 #

• Nginx的add_header不会自动传给子location，所以如果/api/路径需要CSP，因为是代理到Node.js，Helmet会处理，不用额外配置。
• 修复完记得用ZAP重新扫一遍，确认漏洞消失。

内容的提问来源于stack exchange，提问作者Adriel Kirch