Spring Boot如何在运行时动态修改Content Security Policy配置？

核心实现逻辑：原生StaticHeadersWriter会将CSP规则固定死，无法运行时修改，只需自定义支持动态更新的HeaderWriter实现替换原有配置，即可实现无重启修改CSP规则，无需重载应用上下文。

1. 实现线程安全的动态CSP头写入器 #

用AtomicReference存储CSP规则，保证多线程场景下读写的线程安全性：

import org.springframework.security.web.header.HeaderWriter;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import java.util.concurrent.atomic.AtomicReference;

public class DynamicCspHeaderWriter implements HeaderWriter {
    // 存储当前生效的CSP规则，设置默认兜底值
    private final AtomicReference<String> currentCspPolicy = new AtomicReference<>("default-src 'self'");

    @Override
    public void writeHeaders(HttpServletRequest request, HttpServletResponse response) {
        String policy = currentCspPolicy.get();
        // 仅当规则非空、且响应未包含CSP头时写入
        if (policy != null && !policy.isBlank() && !response.containsHeader("Content-Security-Policy")) {
            response.setHeader("Content-Security-Policy", policy);
        }
    }

    // 对外暴露更新CSP规则的方法
    public void updatePolicy(String newPolicy) {
        currentCspPolicy.set(newPolicy);
    }

    // 对外暴露查询当前生效规则的方法
    public String getCurrentPolicy() {
        return currentCspPolicy.get();
    }
}

2. 替换Spring Security中的静态CSP配置 #

将自定义的DynamicCspHeaderWriter注册为Bean，替换原有StaticHeadersWriter：

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    // 注册自定义CSP头写入器为Spring管理的Bean
    @Bean
    public DynamicCspHeaderWriter dynamicCspHeaderWriter() {
        return new DynamicCspHeaderWriter();
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        // 保留原有其他安全配置不变，仅修改CSP头写入逻辑
        http.headers()
            .addHeaderWriter(dynamicCspHeaderWriter());
        
        // 原有权限控制、CSRF配置、会话管理等其他配置保持不变
    }
}

3. 实现CSP规则管理能力 #

新增管理服务层，实现规则的持久化和实时更新，避免服务重启后配置丢失：

@Service
public class CspConfigManager {
    private final DynamicCspHeaderWriter cspHeaderWriter;
    // 自行实现持久层，用于存储CSP规则，可基于JPA/MyBatis操作数据库
    private final CspConfigRepository cspConfigRepository;

    public CspConfigManager(DynamicCspHeaderWriter cspHeaderWriter, CspConfigRepository cspConfigRepository) {
        this.cspHeaderWriter = cspHeaderWriter;
        this.cspConfigRepository = cspConfigRepository;
        // 服务启动时加载数据库中存储的最新CSP规则
        loadSavedPolicy();
    }

    private void loadSavedPolicy() {
        String savedPolicy = cspConfigRepository.findLatestEnabledPolicy()
                .orElse("default-src 'self'");
        cspHeaderWriter.updatePolicy(savedPolicy);
    }

    // 提供给管理后台调用的更新方法
    public void updateCspPolicy(String newPolicy) {
        // 先持久化新规则到数据库
        cspConfigRepository.saveNewPolicy(newPolicy);
        // 再更新内存中的规则，立刻生效无需重启
        cspHeaderWriter.updatePolicy(newPolicy);
    }

    public String getCurrentEnabledPolicy() {
        return cspHeaderWriter.getCurrentPolicy();
    }
}

如果需要提供HTTP接口给管理后台UI调用，新增对应Controller即可，注意给接口加上管理员权限校验：

@RestController
@RequestMapping("/admin/api/csp")
public class CspAdminController {
    private final CspConfigManager cspConfigManager;

    public CspAdminController(CspConfigManager cspConfigManager) {
        this.cspConfigManager = cspConfigManager;
    }

    // 查询当前生效的CSP规则
    @GetMapping
    public String getCurrentPolicy() {
        return cspConfigManager.getCurrentEnabledPolicy();
    }

    // 更新CSP规则
    @PostMapping
    public void updatePolicy(@RequestBody String newPolicy) {
        // 此处可新增CSP规则合法性校验，避免错误配置导致前端资源无法加载
        cspConfigManager.updateCspPolicy(newPolicy);
    }
}

4. 集群部署适配 #

如果是多节点集群部署，可通过以下两种方式实现所有节点规则同步：

• 用配置中心（如Nacos、Apollo）存储CSP规则，所有节点监听配置变更事件，收到变更后自动更新本地规则
• 用Redis发布订阅功能，更新规则后向所有节点推送更新通知，节点收到通知后从数据库拉取最新规则生效

注意事项 #

• 新增CSP规则校验逻辑，避免传入无效规则导致全站资源加载异常，可先通过Content-Security-Policy-Report-Only头进行规则灰度验证
• 生产环境的CSP管理接口必须做严格的权限控制，仅允许授权的管理员操作

内容的提问来源于stack exchange，提问作者Martin Häusler