如何配置.htaccess以排除指定HTML文件允许注入样式与脚本

以下是两种可直接落地的配置方案： #

方法1：通过<Files>块匹配特定文件覆盖CSP规则 #

Apache的<Files>块内的Header配置优先级高于全局配置，会直接覆盖之前定义的全局CSP，你只需要在现有全局CSP配置下方添加对应规则即可：

# 替换your-target.html为你需要排除的HTML文件名
<Files "your-target.html">
  # 可根据实际加载需求调整CSP规则，以下为允许同域资源、内联脚本/样式的示例配置
  Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'"
</Files>

如果你的HTML文件存放在特定子目录下，可以用<FilesMatch>配合正则匹配路径，适配更灵活的场景。 #

方法2：通过环境变量控制全局CSP生效范围 #

如果你需要批量排除一类文件，可以用SetEnvIf标记请求，再给Header规则增加生效条件：

# 匹配目标文件路径，设置标记环境变量，示例为匹配所有.html后缀的文件
SetEnvIf Request_URI "\.html$" use_loose_csp

# 全局严格CSP仅在未标记的请求上生效
Header set Content-Security-Policy "default-src 'none'" env=!use_loose_csp
# 给标记的请求设置适配的宽松CSP
Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'" env=use_loose_csp

注意事项 #

修改完.htaccess后需要清除浏览器缓存测试，之前的CSP响应头会被浏览器缓存，可能导致新配置暂时不生效。

内容的提问来源于stack exchange，提问作者Murat Colyaran