内容安全策略(CSP)能否实现仅对特定业务脚本的隔离生效？

核心结论 #

1. 你计划的「直接添加仅包含我方脚本和Akamai CDN域名的script-src CSP meta标签」的方案不可行
2. 所有通过meta标签或HTTP头配置的CSP规则都是全局生效的，会作用于页面所有资源的加载，如果你强制添加仅包含你指定域名的规则，会直接阻断宿主应用其他所有外部脚本的加载，确实需要你提前掌握所有接入应用的外部脚本地址才能正常运行
3. 可以通过调整CSP配置逻辑或埋点脚本实现方式满足需求，不需要收集宿主应用的其他资源地址

可行实现方案 #

方案1：strict-dynamic信任链方案（首推） #

这是CSP规范针对第三方脚本场景专门提供的能力，不需要你收集宿主应用的资源地址，只需要和宿主应用配合做简单配置即可：

• 你首先计算己方埋点脚本metrics.js的SHA-256哈希值，或者和宿主约定统一的动态随机nonce值
• 由宿主应用配置全局CSP规则，在script-src指令中加入你的脚本哈希/nonce，同时加上strict-dynamic关键字
• 规则生效后，只要你的埋点脚本被CSP信任，它后续动态加载的所有资源（包括assets.adobedtm.com的CDN资源）都会被自动信任，不需要额外添加域名白名单，也不会影响宿主应用自己的资源加载逻辑

配置示例：

<meta http-equiv="Content-Security-Policy" content="script-src 'strict-dynamic' 'sha256-abcdefghijklmnopqrstuvwxyz1234567890' 'unsafe-inline' https:; object-src 'none'; base-uri 'none';">

其中'unsafe-inline'和https:是旧浏览器兼容配置，现代浏览器会自动优先采用strict-dynamic规则。

方案2：埋点脚本内聚优化方案（无需修改CSP） #

如果无法推动所有接入应用修改CSP配置，可以直接优化你的埋点脚本实现，不需要新增任何CSP规则：

• 将所有依赖的assets.adobedtm.com的JS资源打包进你的metrics.js中，避免额外的外部资源请求
• 如果有少量无法打包的动态资源，可以转成base64格式内嵌到脚本内，不需要发起外部HTTP请求

方案3：临时兜底方案（不推荐） #

如果以上两种方案都无法落地，可以在CSP规则中加入unsafe-eval关键字临时解决问题，但会降低页面整体安全等级，仅建议作为短期过渡方案使用。

内容的提问来源于stack exchange，提问作者clueless1