Content-Security-Policy响应头是否仅适用于text/html内容类型？

OWASP CSP配置建议相关疑问解答 #

为什么优先推荐HTTP头配置CSP而非meta标签 #

meta标签配置CSP存在大量功能和可靠性缺陷：

• 核心功能不支持：frame-ancestors（防点击劫持）、report-uri/report-to（违规上报）、sandbox（页面权限沙箱）这些高频用到的关键指令，meta标签完全不支持，无法实现完整的安全防护能力。
• 生效规则严格：meta标签必须放在HTML的<head>节点内，一旦因为模板渲染逻辑错误被放到<body>中，会直接完全失效。
• 易被篡改：如果中间代理、CDN或者恶意攻击者篡改了HTML内容，可以直接移除、修改meta标签的CSP规则，防护能力直接失效。

为什么建议所有响应都返回CSP头而非仅HTML #

CSP并非仅对HTML页面生效，非HTML资源缺少CSP防护会带来明确的安全风险：

• 很多非HTML资源可被直接作为顶层页面打开，比如用户可上传的SVG、PDF、XML文件，或者JSONP、纯文本接口，如果这些资源存在脚本注入风险，没有CSP防护的情况下用户直接访问就会执行恶意代码。
• SPA应用的前端路由子路径如果被用户直接访问（比如存为书签打开），如果该路径的响应（哪怕是初始的3xx跳转响应）没有返回CSP头，整个页面的CSP防护就会失效。
• 浏览器对父页面CSP的继承存在边界场景漏洞，比如顶层导航到非HTML资源时不会继承父页面的CSP，单独给非HTML资源加CSP头才能实现全场景覆盖。

仅给text/html类型响应返回CSP头是否安全，大体积CSP怎么优化 #

• 安全风险评估：如果你确认站点没有用户可上传的非HTML可执行资源（SVG、PDF等），也没有可被直接顶层访问的非HTML接口，且所有HTML类型的响应（包括子路径页面、重定向后的页面）都正确返回CSP头，那仅给text/html返回头的风险处于可控范围，但依然建议覆盖所有可能被作为顶层页面打开的资源类型。
• 大体积CSP优化方案：
  • 定期清理无用的指令和允许源，删除冗余的域名、过时的规则，优先用哈希/nonce替代长串的内联脚本/样式白名单，减少规则体积。
  • 无需给纯子资源类型（js、css、图片、字体等）返回CSP头，这类资源被父页面加载时会自动遵循父页面的CSP规则，单独返回属于不必要的字节开销。

内容的提问来源于stack exchange，提问作者Nikolay Dimitrov