ThinkPHP控制器如何设置Content-Security-Policy头以增强XSS防护？

本文共计992个文字，预计阅读时间需要4分钟。

ThinkPHP 控制器中不应当（也不宜）直接使用 `header()` 或响应对 `Content-Security-Policy` 手动填充。这会绕过框架的中介机制，导致无法统一管理，并在多应用或CLI环境下极容易失效。

为什么不该在控制器里用 response()->header() 设置 CSP

ThinkPHP 的 HTTP 响应生命周期中，头信息应在中间件阶段注入，而非控制器动作内部。控制器关注业务逻辑，安全头属于横切关注点。手动设置会导致：

• Content-Security-Policy 可能被后续中间件覆盖（比如调试中间件、跨域中间件）
• 模板渲染前未生效，导致内联 <script></script> 被浏览器直接拦截而无提示
• JSON 接口、文件下载等非 HTML 响应也误加了 CSP（多数场景不需要）
• 无法复用策略配置，不同控制器重复写字符串，拼错引号或空格就全挂

推荐做法：用中间件统一注入 CSP 头

ThinkPHP 6+ 支持全局中间件，适合注入安全头。