Refused to load the script 'xxx' because it violates the followi

nginx配置内容安全策略csp的代码举例

问题描述

工作中，我们做好项目以后，要发布到服务器上，供用户使用。不过为了项目安全，还是需要使用http协议自带的安全策略规则,去进行相应的配置，以防止别人使用一些脚本去攻击我们的项目（跨站脚本攻击Cross-Site Script，即XSS）

所以本篇文章举例记录一下nginx中如何配置（如何在请求头中加上csp）

关于Content-Security-Policy

概念咱就不赘述了，详见官方文档：
https://developer.mozilla.org...

业务场景

比如我做的项目中，有以下资源需要从外部引入：

项目中使用了jquery脚本，从cdn.bootcdn.net拿过来的
项目中使用了外部css样式，从cdn.bootcss.com拿过来的
项目中使用了外部的图片，好几个网站的都有
项目中也使用了外部的媒体资源音频，好几个网站的都有

要求：

除了这两个网站cdn.bootcdn.net、cdn.bootcss.com的脚本和样式表能访问，别的一概拒绝。只要不是这两个网站的，都拒接访问，那肯定不好攻击我们的项目了呗
对于图片资源和媒体资源不做限制（因为图片媒体资源并不太好攻击项目，js脚本倒是有一定的风险）

nginx代码配置

http {
    include       mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    keepalive_timeout  65;
    server {
        listen       80;
        server_name  localhost;
                                           # 全局配置资源访问规则-除自己外全禁了（后面写的除外）                                      # 允许使用内联资源，内联脚本啥的                                         # data的URIs和blob流文件啥的也都可以访问的，就是这一块不怎么限制，这个倒是没事的                                   # 这个基本上弃用了，加上吧，无妨
        add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.bootcdn.net https://cdn.bootcss.com 'unsafe-inline' 'unsafe-eval'; connect-src * 'unsafe-inline'; img-src * data: blob: 'unsafe-inline'; media-src * data: blob: 'unsafe-inline'; font-src * data: blob: 'unsafe-inline'; frame-src *; style-src * 'unsafe-inline'; worker-src * data: blob: 'unsafe-inline';";
                                                                # 脚本资源访问规则-只放行自己，外人全禁用（上面这两个网站的脚本允许访问呢）            # 允许使用eval函数                             # 所有图片资源都放行允许访问            # 所有媒体资源都放行允许访问               # 所有字体资源都放行允许访问                           # 样式文件资源都放行          # 工作的资源都放行，不加就报错！得加上呢！
        location / {
            try_files $uri $uri/ /index.html;
            root C:/nginx-1.18.0/html/personmanage/dist;
            index  index.html index.htm;
        }
        location /api/ {
            proxy_pass http://localhost:10000/;
        }
    }
}

注意：