内容安全策略(CSP)移除unsafe-inline后跨系统浏览器表现差异问题

这个问题既不是Apache2的漏洞，也不是Windows端浏览器的问题，核心原因是WordPress日历插件的实现Bug，跨系统表现不一致属于不同环境下的浏览器特性差异导致的特例。

1. CSP规则的正常逻辑：当你移除script-src中的'unsafe-inline'后，所有内联<script>标签、HTML标签上绑定的内联事件（比如写在标签里的onclick/onload）、eval动态执行的代码都会被CSP规则拦截，这是符合W3C标准的设计。
2. 日历插件的缺陷：绝大多数WordPress的日历小部件都会在页面输出时硬编码内联JS代码或者内联事件监听，这些代码本身就不符合无'unsafe-inline'的CSP配置要求，被拦截是预期结果，本质是插件没有适配严格CSP场景，属于插件的实现问题。
3. Linux端Firefox正常的原因：这是个别环境的特殊表现，大概率是你Linux环境下的Firefox要么安装了适配该插件的扩展、要么针对该站点配置过安全例外，也有可能是当前使用的Firefox版本存在边缘场景的CSP判定差异，误放行了本该拦截的脚本，不属于通用的正常表现。
4. 其他可能性排除：
   • Apache2仅负责按照你的配置原样返回CSP响应头，不会针对不同客户端UA修改头内容，不同系统下拿到的CSP规则完全一致，因此可以排除Apache漏洞的可能。
   • Windows端的Chrome、Firefox对CSP规则的实现符合标准，拦截违规内联脚本属于正常工作逻辑，你可以打开浏览器控制台的安全标签，就能看到明确的CSP拦截报错，不存在浏览器本身的问题。

如果你需要保留移除'unsafe-inline'的安全配置，可选择以下两种方案：

• 从浏览器控制台的CSP报错信息中复制违规内联脚本的哈希值，添加到script-src的允许列表中，格式为script-src 'self' 'sha256-xxxxxx'
• 给插件的内联脚本添加随机nonce值，同时在CSP头中配置对应的nonce规则，该方案安全性更高，但需要修改插件代码或配合WordPress钩子实现。

内容的提问来源于stack exchange，提问作者Umbertones