如何在IE11等旧浏览器中强制执行Content Security Policy？

旧浏览器是否可以绕过CSP限制 #

答案是肯定的，CSP是完全依赖浏览器原生实现的客户端安全规范，所有规则的校验、拦截逻辑都由浏览器内核完成：

• 完全不支持CSP的浏览器（如IE11及更早版本）会直接忽略服务端返回的CSP响应头，你配置的所有CSP规则都不会生效，确实可以绕过CSP限制。
• 补充说明：IE11仅支持非标准的X-Content-Security-Policy响应头，且只能兼容CSP 1.0的极小部分规则，无法支持nonce、hash、script-src-elem等常用配置，几乎无法满足正常React项目的CSP规则需求。

针对旧浏览器的强制安全管控方案 #

你可以通过多层防护组合的方式，尽可能规避旧浏览器CSP失效带来的安全风险：

• 入口处拦截不支持CSP的浏览器
  可以通过两种方式实现：一是在IIS中配置URL重写规则，识别旧浏览器的UA后直接返回升级提示页；二是在React项目入口HTML的最靠前位置插入UA检测内联脚本，对不符合版本要求的浏览器直接跳转拦截，从访问入口阻止旧浏览器进入业务系统，从根源避免CSP绕过问题。
• 添加旧版CSP响应头做兼容兜底
  在web.config中除了标准Content-Security-Policy头外，额外新增旧版浏览器支持的非标准CSP头，规则尽量和标准规则对齐，覆盖少部分边缘场景。参考配置如下：

  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <!-- 现代浏览器使用的标准CSP头 -->
        <add name="Content-Security-Policy" value="default-src 'self'; script-src 'self' 'nonce-xxxx'..." />
        <!-- 兼容旧版IE的非标准CSP头 -->
        <add name="X-Content-Security-Policy" value="default-src 'self'; script-src 'self'..." />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
  

• 补充前后端原生防护逻辑
  CSP本身是XSS攻击的缓解手段，而非唯一防线：前端代码要做好用户输入过滤、危险API（eval、innerHTML、document.write等）的封装校验；服务端要做好所有用户可控内容的输入校验和输出编码，就算CSP完全失效，前后端的原生防护也能阻止绝大多数攻击。

内容的提问来源于stack exchange，提问作者72GM