使用 CSP Level 3 新特性会显著改变内容安全策略的配置逻辑，从基于域名的白名单转变为基于 nonce 或 hash 的信任机制。这适合需要严格防御 XSS 攻击的现代 Web 应用，但配置错误会导致正常脚本被拦截。

快速处理思路

若决定启用 strict-dynamic 或 nonce 机制，需在 HTTP 响应头中调整 script-src 指令，并在 HTML 脚本标签中添加对应属性。以下是一个最小化配置示例，展示如何在 Header 和 HTML 中协同工作：

Content-Security-Policy: default-src 'self'; script-src 'strict-dynamic' 'nonce-随机值';

服务端需为每个请求生成唯一的随机 nonce 值，并将其同时写入 HTTP 头和 HTML 标签的 nonce 属性中。若无法修改服务端代码，可考虑使用 hash 值代替 nonce，但维护成本较高。

为什么会这样

CSP Level 3 新特性改变了浏览器的信任模型，不再单纯依赖域名白名单。传统配置通过 script-src 'self' https://cdn.example.com 允许特定域名脚本，而 strict-dynamic 指令告诉浏览器忽略宿主源列表，只信任带有有效 nonce 或 hash 的脚本及其动态创建的子脚本。这种机制能更精准地防止 XSS 攻击，因为攻击者难以伪造正确的 nonce 值。根据 W3C 标准草案，strict-dynamic 仅适用于 script-src 指令，且必须与 nonce 或 hash 配合使用才能生效。

分步处理

第一步，检查现有应用是否依赖内联脚本或第三方动态加载脚本。若存在大量内联脚本，直接启用 strict-dynamic 会导致页面功能失效。第二步，在服务端中间件或代码中实现随机 nonce 生成逻辑，确保每次请求的 nonce 值唯一且不可预测。第三步，配置 HTTP 响应头，初始阶段建议使用 Content-Security-Policy-Report-Only 头，避免直接阻断线上业务。第四步，遍历页面所有 script 标签，添加 nonce 属性，值需与 HTTP 头中的 nonce 一致。第五步，对于动态创建的 script 元素，确保 JavaScript 代码中显式设置 script.nonce 属性。

怎么验证是否生效

打开浏览器开发者工具的 Console 面板，查看是否有 CSP 违规报错。若配置为 Report-Only 模式，违规请求会被允许但会发送报告到指定端点。检查 Network 面板中脚本请求的状态，确保未被浏览器拦截。若使用 report-uri 或 report-to 指令，监控服务端接收到的违规报告日志，确认没有误报合法脚本。若发现正常脚本被拦截，核对 HTML 标签中的 nonce 值是否与 HTTP 头完全一致，包括大小写和空格。

常见坑

一是 nonce 值不唯一，若服务端缓存了带 nonce 的页面，会导致不同请求复用同一 nonce，降低安全性。二是 strict-dynamic 与 unsafe-inline 混用，部分浏览器在存在 unsafe-inline 时可能忽略 strict-dynamic，导致策略未按预期生效。三是动态加载脚本未继承 nonce，使用 document.createElement('script') 创建脚本时，若未手动设置 nonce 属性，该脚本会被拦截。四是哈希值计算错误，若使用 hash 代替 nonce，需确保哈希算法（如 sha256）和编码格式与 CSP 头中定义完全一致，脚本内容任何细微变动都会导致哈希不匹配。

常见问题

启用 strict-dynamic 后域名白名单还有效吗？

无效，strict-dynamic 会忽略 script-src 中的宿主源列表，只信任带 nonce 或 hash 的脚本。

旧浏览器不支持 CSP Level 3 怎么办？

可同时保留传统域名白名单作为降级方案，但需注意策略优先级和兼容性测试。

nonce 值可以硬编码在代码里吗？

不可以，nonce 必须是每次请求随机生成的，硬编码会导致安全机制失效。

样式表 style 标签需要配置 nonce 吗？

需要，若 CSP 头中限制了 style-src 且未允许 unsafe-inline，style 标签也需添加 nonce 属性。

参考来源

• CSP Level 3 新特性详解:strict-dynamic、unsafe-hashed-attributes 与 nonce 的协同应用
• CSP 配置实战指南：从原理到部署，构建 Web 应用安全防线
• FastAPI 应用 CSP 安全配置实战:strict-dynamic 与 hash-src 详解
• 手搓 CSP 生成器：根据页面内容生成安全策略
• CSP 安全策略下如何正确配置 content-security-policy 头以防止 XSS 攻击？_编程语言-CSDN 问答