CSP头部规避unsafe-inline时nonce与hash指令选型及相关问题咨询

问题1解答 #

纯静态站点（无服务端动态渲染能力、直接返回固定HTML文件的场景）本身不支持直接实现符合安全规范的nonce机制：nonce要求每次请求生成密码学安全的随机值，同时更新CSP响应头和HTML内对应标签的nonce属性，固定nonce不存在防护效果，攻击者可以直接复用。
可通过以下两种方案落地合规的nonce机制：

• 新增反向代理/CDN中间层：提前在所有HTML的script、style标签中写好nonce占位符（比如nonce="{{RANDOM_NONCE}}"），通过Nginx、Cloudflare Worker等中间层，每次请求生成新的随机nonce，同步替换响应头CSP字段中的nonce值和HTML返回内容里的占位符即可。
• 若无法新增中间层，直接放弃nonce方案，改用哈希白名单方案即可。

问题2解答 #

当前静态站点场景下，哈希方案的适配性优于nonce：

• 静态站点的内联脚本、内联样式内容都是固定的，计算一次哈希即可长期使用，不需要额外做动态内容替换，维护成本更低。
• 哈希方案不存在nonce复用、泄漏的安全风险，只要内联代码内容不变，哈希值就不会失效，完全可以通过OWASP ZAP的安全扫描规则。
  唯一注意事项：只要修改了内联代码的内容（哪怕仅增减空格、换行），都需要重新计算哈希值更新到CSP响应头中，否则会出现拦截报错。

问题3解答 #

将body内的内联脚本移到head的单个script标签中，没有消除内联脚本。
CSP判定内联脚本的标准和标签位置无关：只要是写在<script>标签内部、没有通过src属性引入外部独立JS文件的代码，不管放在head还是body中，都属于内联脚本，默认会被CSP拦截，需要白名单放行。
如果想要彻底消除内联脚本，需要把所有JS代码抽取为独立的.js文件，在HTML中仅通过<script src="xxx.js">的方式引入，CSP配置对应允许的脚本源即可，不需要再为内联代码配置白名单。

内容的提问来源于stack exchange，提问作者Hrishikesh Bawane