我来帮你搞定这个Jenkins CSP配置持久化的问题——之前用脚本控制台临时设置的hudson.model.DirectoryBrowserSupport.CSP确实会在Jenkins重启后丢失，下面是几种可靠的持久化方法，按推荐程度排序：

方案1：修改Jenkins启动参数（最稳定） #

这种方式直接通过JVM启动参数注入配置，重启Jenkins后不会失效，是最推荐的做法：

• 登录你的Ubuntu 18.04服务器，找到Jenkins的启动配置文件。如果是通过apt包管理安装的Jenkins，配置文件通常在/etc/default/jenkins
• 编辑这个文件，找到JAVA_ARGS这一行，在现有参数后面添加-Dhudson.model.DirectoryBrowserSupport.CSP=""。注意shell环境下双引号需要转义，修改后示例如下：

  JAVA_ARGS="-Djava.awt.headless=true -Dhudson.model.DirectoryBrowserSupport.CSP=\"\""
  

• 保存文件后，重启Jenkins服务：

  sudo systemctl restart jenkins
  

• 验证配置：重启后打开Jenkins脚本控制台，执行System.getProperty("hudson.model.DirectoryBrowserSupport.CSP")，返回空字符串就说明配置生效了，此时HTML报告的CSS应该能正常加载。

方案2：添加启动初始化Groovy脚本 #

如果不想修改系统级的启动配置，可以通过Jenkins的初始化脚本在启动时自动设置参数：

• 在Jenkins的主目录/var/lib/jenkins下创建init.groovy.d目录（如果不存在的话）：

  sudo mkdir -p /var/lib/jenkins/init.groovy.d
  

• 在该目录下创建一个新的Groovy脚本，比如set-csp-config.groovy：

  System.setProperty("hudson.model.DirectoryBrowserSupport.CSP", "")
  

• 给脚本设置正确的权限，确保Jenkins用户能读取：

  sudo chown jenkins:jenkins /var/lib/jenkins/init.groovy.d/set-csp-config.groovy
  

• 重启Jenkins服务，这个脚本会在Jenkins启动时自动执行，完成CSP参数的设置。

方案3：修改config.xml配置文件 #

你之前没找到这个配置项是因为它需要嵌套在特定节点下，操作步骤如下：

• 先停止Jenkins服务，避免配置文件被改写：

  sudo systemctl stop jenkins
  

• 编辑/var/lib/jenkins/config.xml，找到（或添加）<globalNodeProperties>节点，插入系统属性配置：

  <globalNodeProperties>
    <hudson.slaves.EnvironmentVariablesNodeProperty>
      <envVars serialization="custom">
        <unserializable-parents/>
        <tree-map>
          <default>
            <comparator class="java.lang.String$CaseInsensitiveComparator"/>
          </default>
          <entry>
            <string>hudson.model.DirectoryBrowserSupport.CSP</string>
            <string></string>
          </entry>
        </tree-map>
      </envVars>
    </hudson.slaves.EnvironmentVariablesNodeProperty>
  </globalNodeProperties>
  

• 保存文件后启动Jenkins：

  sudo systemctl start jenkins
  

  注意：这种方式可能在Jenkins版本升级时被覆盖，所以优先级低于前两种方案。

安全提示 #

设置空的CSP会降低Jenkins的安全性，因为CSP原本是用来防范XSS攻击的。如果你的Jenkins对外公开访问，建议设置更严格的CSP规则，比如允许加载本地资源和必要的内联样式/脚本：

-Dhudson.model.DirectoryBrowserSupport.CSP="default-src 'self'; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline';"

这样既可以解决HTML报告的CSS加载问题，又能保留基础的安全防护。

内容的提问来源于stack exchange，提问作者Europa