静态落地页CSP配置style-src 'unsafe-inline'的安全风险咨询

• 先给明确结论：对你的站点来说，在style-src里加'unsafe-inline'没有高安全风险，完全可以用，没必要硬给所有内联样式算哈希。
• 首先搞清楚风险边界：style-src的'unsafe-inline'和script-src的'unsafe-inline'风险等级完全不是一个量级。样式注入能实现的攻击非常有限，最多是篡改页面UI、诱导点击劫持，根本做不到偷取用户Cookie、篡改表单提交地址、执行恶意代码这类高危操作，本身攻击面就极小。
• 结合你的站点实际情况：
  • 站点99.9%都是静态内容，唯一的动态交互只有一个联系表单，只要你在服务端做好表单输入校验、对用户提交的内容做转义、不把用户提交的内容未经处理直接回显到公开页面上，根本没有注入恶意内联样式的入口。
  • Webflow导出的内联样式都是构建阶段生成的固定静态代码，本身不存在恶意内容，为了这些固定内容一条条算哈希加CSP规则，投入产出比极低，完全没必要。
• 给你个更务实的CSP配置优化方向，比硬卡内联样式防护效果好得多：
  1. style-src直接配置'self' 'unsafe-inline'，覆盖Webflow生成的所有内联样式，不用折腾哈希
  2. 把防护重心放在script-src上，绝对不要给脚本配置'unsafe-inline'，这才是防御XSS攻击的核心
  3. 单独配置frame-ancestors 'self'，直接堵死点击劫持这类依赖样式篡改的攻击路径，比禁用样式内联的防护效率高太多
  4. 联系表单后端做好提交内容校验、转义，从根源堵死注入入口

如果你后续确实想把style-src的规则收紧，也不用手动算哈希，找个开源的CSP哈希批量生成工具爬一遍你整个静态站，就能自动把所有内联样式、内联脚本的哈希批量导出来，直接粘到配置里就行，不用手动一条条处理。

内容的提问来源于stack exchange，提问作者Alissia