CSP策略配置后为什么还是被绕过执行了内联脚本？
在做渗透测试时，给网站加了CSP策略禁止内联脚本，但测试人员用base64编码的dataURI依然能执行恶意脚本，这是怎么回事？
我的CSP配置是这样的：Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com，但测试用还是能弹窗。
已经尝试过加script-src 'unsafe-inline'黑名单，也用了nonce验证，但客户环境要求兼容旧版IE，这该怎么彻底堵住dataURI执行漏洞？
- 2
回答
34浏览
为什么我的CSP头配置总是报错？路径和语法都没问题
我在给项目加CSP头的时候遇到奇怪的问题，明明按照文档写了meta标签，但浏览器还是提示违反CSP策略。检查过路径和语法都没问题，这是为什么啊？ 代码是这样写的，设置了script-src只允许sel...
- 1
回答
49浏览
为什么设置了CSP后图片和字体资源还是被阻止了？
我在开发博客项目时配置了CSP头，但图片和字体资源还是被浏览器拦截了。我明明设置了和，控制台报错显示： Refused to load the image 'https://images.exampl...
- 2
回答
23浏览
CSP中的strict-dynamic有什么用？为什么我的动态脚本还是被阻止了？
我在给项目配置CSP时用了'strict-dynamic'，但页面加载时动态创建的script标签还是报blocked错误。比如这样： const script = document.createEl...
- 1
回答
17浏览
为什么我的CSP策略阻止了eval函数，但移除unsafe-eval又报错？
我在开发动态表单组件时用到了eval执行表达式，CSP报错提示缺少unsafe-eval。尝试在header里加了script-src 'self' 'unsafe-eval'，但控制台还是显示： C...
- 1
回答
22浏览
React中使用strict-dynamic后动态内联样式还是被CSP拦截怎么办？
最近给项目加CSP防护时遇到怪事，按照文档在nonce策略里加了'strict-dynamic'，但React组件里的动态内联样式还是被拦截。明明设置了nonce和函数生成样式啊... 代码大概是这样...
- 2
回答
58浏览
CSP报显示图片源被阻止但已配置’srcset’还是不行怎么办？
我在开发环境设置了CSP头，但控制台一直报标签的图片被阻止，明明已经在'srcset'里写了self和具体域名，怎么还是不行？ 配置是这样的：Content-Security-Policy: img-...
- 2
回答
38浏览
设置了font-src还是报字体加载被CSP阻止，哪里配置错了？
我在页面里用@font-face引入了自定义字体，同时设置了CSP头"font-src 'self';"。但控制台还是报错： Refused to load the font 'data:applic...
- 2
回答
24浏览
React里用了report-to但CSP报告没收到怎么办？
在React项目里配置了CSP的report-to指令，但一直没收到违规报告，是不是哪里写错了？ 我按照文档设置了meta标签，还用.env文件存了端点： // index.js document.a...
- 2
回答
91浏览
设置了CSP后图片无法加载，却显示’strict-dynamic’相关错误？
我在给项目配置CSP时遇到了奇怪的问题。设置了后页面报错： <!DOCTYPE html> <html> <head> <meta http-equiv="C...
- 2
回答
82浏览
CSP配置报错：Refused to execute inline script because it violates the following Content Security Policy directive
我在给项目添加CSP头时遇到了问题，页面一加载就报错：Refused to execute inline script because it violates the Content Security...
data:到你的策略里：不过老版IE根本不支持CSP，建议用X-Content-Security-Policy兼容一下，但真想彻底堵住还是得放弃IE。
首先，你的配置里没有明确禁止data:协议，这是一大漏洞。攻击者可以用
data:text/javascript;base64,...这种方式直接绕过。解决方法是在CSP里加一行：block-all-mixed-content，同时明确拒绝data:协议：script-src 'self' https://cdn.example.com; block-all-mixed-content;其次，关于旧版IE兼容问题，确实是个麻烦事。IE11以下根本不支持CSP Level 2，nonce和hash都玩不转。建议用
X-Content-Security-Policy头专门给IE用，内容和普通CSP一样，至少能挡住一部分攻击。最后提醒一句，别迷信CSP能完全防住XSS，它只是多加一层防护。输入验证和输出编码才是根本，这两个做好了，CSP只是锦上添花。
给你一个完整配置参考：
记住，安全这事永远是层层设防，不要把所有希望都寄托在一个策略上。