Content-Security-Policy头需应用于所有资源还是仅网页？

常规场景下你只需要给网页文档（MIME类型为text/html的响应）配置CSP响应头就够了，图片、CSS、JavaScript等静态子资源完全没必要单独配置。

核心逻辑 #

CSP的作用是约束当前浏览上下文的行为：只有当资源作为独立文档加载（比如用户直接访问的HTML页面、iframe嵌入的HTML页面）时，它携带的CSP才会生效，用来管控这个文档内的脚本执行、资源加载权限、跨域嵌入规则等所有安全策略。
所有被HTML文档引用加载的图片、样式表、脚本等子资源，本身不会生成独立的浏览上下文，它们能不能加载、能执行什么操作，完全由引用它们的父文档的CSP规则决定，浏览器加载子资源时会直接忽略子资源自身返回的CSP头，给这类资源加CSP属于纯冗余配置，带不来额外的安全防护效果。

为什么能看到子资源带CSP头 #

你观察到的图片等非HTML资源携带CSP，基本都是两种情况：

• 站点做了全局响应头配置，没有按资源MIME类型做区分，所有服务器返回的响应不管是什么类型都统一塞了CSP头，属于运维层面的“一刀切”懒配置，不是规范要求。
• 部分资源存在被用户直接在地址栏打开、作为独立页面访问的可能，给这类资源加CSP可以在它被当成独立文档加载时生效，比如防止被恶意站点嵌套做钓鱼，但这类场景非常少，防护收益极低，几乎没人专门为了这个给子资源配CSP。

补充 #

给子资源配CSP不会导致功能报错，只是会平白增加维护成本——后续你调整CSP规则的时候，还要同步覆盖所有类型资源的响应规则，完全是多余的工作量。

内容的提问来源于stack exchange，提问作者j3rbrown