如何在Jenkins Pipeline中配置Content Security Policy永久生效

Jenkins默认开启的内容安全策略（CSP）会限制HTML报告中的内联CSS、JS加载，这就是HTML Publisher插件生成的报告打开后无样式的核心原因，hudson.model.DirectoryBrowserSupport.CSP参数就是用来调整该策略的配置项。

核心问题答复 #

你可以将System.setProperty("hudson.model.DirectoryBrowserSupport.CSP", "")添加到Jenkins Pipeline中实现配置生效，但该方案不属于全实例级别的永久生效，生效范围和时效有以下限制：

• 若在单条Pipeline脚本中直接执行该代码，配置仅对当前Jenkins节点的后续报告浏览生效，重启Jenkins或者切换到其他节点后配置会自动失效
• 若需要实现全实例永久生效，更推荐将该参数添加到Jenkins启动参数中，不同部署方式修改路径如下：
  • 二进制部署：修改Jenkins启动脚本，在Java启动命令中添加参数 -Dhudson.model.DirectoryBrowserSupport.CSP=""
  • Docker部署：启动容器时添加环境变量 JAVA_OPTS="-Dhudson.model.DirectoryBrowserSupport.CSP="""

Pipeline中添加配置的参考写法 #

如果确定要在Pipeline中配置该规则，可以参考以下语法：

pipeline {
    agent any
    stages {
        stage('调整CSP规则') {
            steps {
                script {
                    // 完全放开CSP限制，仅建议测试环境使用，生产环境建议配置更严格的规则
                    System.setProperty("hudson.model.DirectoryBrowserSupport.CSP", "")
                }
            }
        }
        // 后续构建、生成HTML报告、调用HTML Publisher插件的步骤
    }
}

注意事项 #

• 该配置需要Pipeline拥有Jenkins管理员权限，普通权限的任务执行时会触发权限报错
• 完全放开CSP规则（设置为空字符串）存在跨站脚本攻击等安全风险，生产环境建议设置最小可用的规则，比如default-src 'self'; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline'，按需调整允许加载的资源类型即可

内容的提问来源于stack exchange，提问作者mv402506