启用CSP策略导致Node.js前端JS无法发送Cookie及Referrer头

这问题我之前帮同事排查过类似的，大概率是你的CSP策略里缺失了关键指令，导致浏览器出于安全限制，自动取消了Cookie和Referrer头的发送，咱们一步步拆解原因和解决办法：

一、Cookie未发送的核心原因 #

浏览器在发送AJAX请求时，是否携带Cookie直接受CSP的connect-src指令影响：

• 如果你的AJAX请求是发向同域，但CSP里的connect-src没有包含'self'，浏览器会认为这个请求不在允许范围内，不仅可能拦截请求，还会自动跳过Cookie的携带
• 如果是跨域请求，connect-src必须明确列出目标域名（比如https://api.yourdomain.com），同时配合服务器端的Access-Control-Allow-Credentials: true响应头，但你提到移除CSP就正常，所以重点还是connect-src的配置遗漏

二、Referrer头未发送的原因 #

这通常和CSP的referrer指令直接相关：

• 如果你的CSP里设置了referrer no-referrer，浏览器会完全不发送Referrer头
• 如果设置了referrer strict-origin或更严格的规则，当请求不符合规则时（比如跨域且协议降级），Referrer也会被省略
• 另外，如果connect-src限制了请求，浏览器也可能在拦截前自动移除Referrer头

三、针对性解决方案 #

1. 修正connect-src指令
   确保它包含所有AJAX请求的目标地址：

   • 同域请求：添加'self'
   • 跨域请求：明确写出目标域名（支持通配符，比如https://*.yourdomain.com）
     示例：

   connect-src 'self' https://api.example.com;
   

2. 调整Referrer相关配置

   • 如果你不需要特殊限制Referrer，可以直接在CSP里移除referrer指令，浏览器会使用默认的no-referrer-when-downgrade规则
   • 如果需要自定义，推荐设置为referrer strict-origin-when-cross-origin，既保证安全又能在合法场景下发送Referrer

3. 检查script-src指令（额外注意）
   有时候JS功能失效不完全是AJAX的问题，可能是你的内联脚本或外部JS文件被CSP拦截了。如果有内联脚本，需要添加'unsafe-inline'（不推荐生产环境），或者使用nonce/哈希值来授权；外部JS则要确保script-src包含对应的域名。

示例完整CSP字符串 #

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-YourRandomNonce'; connect-src 'self' https://api.example.com; referrer strict-origin-when-cross-origin;

按照这个思路调整你的CSP策略，应该就能解决JS功能失效、Cookie和Referrer头不发送的问题了。

内容的提问来源于stack exchange，提问作者Muhammad Umer