配置default-src 'self' CSP后Chrome XML格式化失效问题咨询

为MCV.NET Web服务配置内容安全策略（CSP）default-src 'self'后，Chrome浏览器不再自动格式化展示XML响应。通过Chrome DevTools的Network面板排查，可见来源为data:的内联图片、字体与样式资源调用请求。

1. 可支持Chrome正常格式化展示XML响应的安全CSP配置 #

Chrome内置XML响应格式化视图会调用data:协议下的图片、字体资源，同时注入内联样式完成排版。配置遵循最小权限原则，不全局放开宽松规则，仅针对对应资源类型定向授权即可，参考配置：

Content-Security-Policy: default-src 'self'; img-src 'self' data:; font-src 'self' data:; style-src 'self' 'unsafe-inline';

配置逻辑：

• 仅在img-src、font-src指令下放开data:协议权限，权限不波及脚本等高风险资源类型
• 仅在style-src指令下放开'unsafe-inline'权限，允许内联样式加载，不开放内联脚本执行权限
• 核心script-src指令继承default-src的'self'限制，无额外XSS风险

2. 配置default-src 'self' data: 'unsafe-inline'的安全性判定 #

该配置不安全，存在明确高风险隐患：

• default-src是所有资源类型的回退规则，在该层级全局放开data:，等同于允许脚本、样式、图片、iframe等所有类型资源从data:协议加载，攻击者可构造data:格式的恶意脚本直接实现XSS攻击
• 在default-src层级全局放开'unsafe-inline'，会同时开放内联脚本、内联事件处理器的执行权限，攻击者一旦找到注入点即可直接执行任意恶意JS，CSP的核心XSS防护能力基本失效
• 该配置违反最小权限原则，把仅需给图片、字体、样式三类低风险资源开放的权限，开放给所有资源类型，大幅扩大站点攻击面。

内容的提问来源于stack exchange，提问作者Bill Heitstuman