Django内容安全策略

Django内容安全策略（Content Security Policy, CSP）是一种重要的Web安全机制，用于减轻跨站脚本（XSS）等攻击的风险。本文将详细介绍如何在Django项目中配置和实施CSP。

简介

内容安全策略（CSP）是一种通过HTTP头或HTML元标签定义的策略，允许开发者控制页面可以加载哪些资源（如脚本、样式表、图像等）。通过限制资源的来源，CSP能有效防止恶意脚本的执行。

在Django中，可以通过中间件或第三方包（如`django-csp`）来实现CSP。

为什么需要CSP

• 防止XSS攻击：CSP通过限制脚本来源，阻止未经授权的脚本执行。
• 控制资源加载：确保只从可信来源加载资源。
• 报告违规行为：可配置CSP以报告策略违规行为，便于调试和监控。

基本配置

以下是通过`django-csp`包配置CSP的步骤：

1. 安装`django-csp`：

pip install django-csp

2. 在`settings.py`中添加中间件：

MIDDLEWARE = [
    # ...
    'csp.middleware.CSPMiddleware',
    # ...
]

3. 配置CSP策略（示例）：

CSP_DEFAULT_SRC = ["'self'"]
CSP_SCRIPT_SRC = ["'self'", "https://trusted.cdn.com"]
CSP_STYLE_SRC = ["'self'", "'unsafe-inline'"]
CSP_IMG_SRC = ["'self'", "data:"]

策略指令说明

• `default-src`：默认策略，适用于未明确指定的资源类型。
• `script-src`：控制脚本的来源。
• `style-src`：控制样式表的来源。
• `img-src`：控制图像的来源。
• `'self'`：允许从当前域名加载资源。
• `'unsafe-inline'`：允许内联脚本或样式（不推荐，但有时必要）。

实际案例

案例1：仅允许从当前域名加载资源

配置`settings.py`：

CSP_DEFAULT_SRC = ["'self'"]
CSP_SCRIPT_SRC = ["'self'"]
CSP_STYLE_SRC = ["'self'"]
CSP_IMG_SRC = ["'self'"]

效果：

• 页面只能从当前域名加载脚本、样式和图像。
• 任何尝试从外部加载资源的操作将被阻止。

案例2：允许内联样式和脚本

某些情况下（如使用第三方库），可能需要允许内联资源：

CSP_SCRIPT_SRC = ["'self'", "'unsafe-inline'"]
CSP_STYLE_SRC = ["'self'", "'unsafe-inline'"]

注意：`'unsafe-inline'`会降低安全性，应尽量避免。

高级配置

非ce配置

如果需要动态生成CSP策略，可以自定义中间件：

from csp.middleware import CSPMiddleware

class CustomCSPMiddleware(CSPMiddleware):
    def process_request(self, request):
        request.csp_update({
            'script-src': ["'self'", "https://dynamic.cdn.com"],
        })

报告URI

配置CSP以报告违规行为：

CSP_REPORT_URI = "/csp-violation-report/"

在`urls.py`中添加处理视图：

from django.http import JsonResponse

def csp_report_view(request):
    if request.method == "POST":
        report = request.body.decode('utf-8')
        # 处理报告（如存储到数据库）
        return JsonResponse({"status": "ok"})

常见问题

问题1：CSP阻止了合法资源

解决方法： 1. 检查浏览器控制台的CSP违规报告。 2. 将合法域名添加到相应的策略指令中。

问题2：内联脚本/样式被阻止

解决方法： 1. 避免使用内联资源。 2. 如果必须使用，添加`'unsafe-inline'`（不推荐）。 3. 使用nonce或hash（更安全的方式）。

使用nonce

示例配置：

CSP_SCRIPT_SRC = ["'self'", "'nonce-{nonce}'"]

在模板中：

<script nonce="{{ request.csp_nonce }}">
    // 内联脚本
</script>

数学公式（可选）

CSP的策略检查可以形式化为： $\text{AllowResource}(r)⟺\mathrm{\exists }s\in \text{Sources},\text{Match}(r,s)$ 其中：

• $r$是请求的资源，
• $s$是策略中允许的来源。

图表

graph TD A[浏览器请求资源] --> B{资源是否符合CSP?} B -->|是| C[加载资源] B -->|否| D[阻止资源并报告违规]

总结

Django内容安全策略是保护Web应用免受XSS等攻击的重要工具。通过合理配置CSP，开发者可以显著提高应用的安全性。建议： 1. 从严格的策略开始，逐步放宽。 2. 使用`django-csp`等工具简化配置。 3. 监控CSP违规报告以优化策略。

通过本文的学习，您应该能够为Django项目配置和实施内容安全策略。