Content Security Policy：审慎规划、测试与实施

Content Security Policy 限制浏览器中的某些资源加载和执行行为。针对应用设计时，它可以降低特定风险，但不能代替安全代码，也不能直接保证 SEO 表现。

盘点合法资源

列出重要旅程所需的脚本、样式、图片、框架和连接。包含支付、同意管理和分析集成，并指定负责人。检查应用路由、CDN 配置和错误响应所提供的策略。多层策略可能相互作用，因此应检查实际响应，而不只是配置文件。

广泛强制实施前先测试

在合适的测试环境中制定策略，并在适合时使用仅报告机制。复现违规，区分必需资源与不必要的集成。不要用通配符或不安全例外解决每个违规。同样，不要复制其他应用的限制性策略，就假定所有表单和结账仍然有效。

示例：必需的 API 连接被拒绝

假设页面正常加载，但拟议策略让表单无法连接预期 API。检查浏览器违规信息，核实 API 的作用，并仅在相关指令中加入有依据的来源。重新测试有效提交、错误处理和无关页面。这是配置测试示例，不是可直接部署的通用策略。

同时验证保护效果与可用性

1. 检查生产环境实际提供的策略。
2. 经授权执行有代表性的登录后和公开旅程。
3. 审核报告中的意外资源和误报。
4. 记录策略负责人、变更和恢复流程。

SearchBastion 的 SSL 与响应头检查工具可以观察响应配置。它不能认证完整策略，也不能证明应用不存在可利用的缺陷。仅缺少一个响应头，无法解释排名下降。

使用 MDN 的 CSP 指南，了解实际运营应用所需的指令和部署选项。