ThinkPHP控制器如何设置Content-Security-Policy头以增强XSS防护？

本文共计992个文字，预计阅读时间需要4分钟。

ThinkPHP 控制器中不应当（也不宜）直接使用 `header()` 或响应对 `Content-Security-Policy` 手动填充。这会绕过框架的中介机制，导致无法统一管理，并在多应用或CLI环境下极容易失效。

为什么不该在控制器里用 response()->header() 设置 CSP

ThinkPHP 的 HTTP 响应生命周期中，头信息应在中间件阶段注入，而非控制器动作内部。控制器关注业务逻辑，安全头属于横切关注点。手动设置会导致：

• Content-Security-Policy 可能被后续中间件覆盖（比如调试中间件、跨域中间件）
• 模板渲染前未生效，导致内联 <script></script> 被浏览器直接拦截而无提示
• JSON 接口、文件下载等非 HTML 响应也误加了 CSP（多数场景不需要）
• 无法复用策略配置，不同控制器重复写字符串，拼错引号或空格就全挂

推荐做法：用中间件统一注入 CSP 头

ThinkPHP 6+ 支持全局中间件，适合注入安全头。创建中间件并注册到 app/middleware.php：

return [ \app\middleware\CspMiddleware::class, ];

中间件内容示例（仅对 HTML 响应生效）：

立即学习“PHP免费学习笔记（深入）”；

namespace app\middleware; <p>use think\Response;</p><p>class CspMiddleware { public function handle($request, \Closure $next) { $response = $next($request);</p><pre class="brush:php;toolbar:false;"> // 只给 text/html 响应加 CSP if ($response instanceof Response && strpos($response->getHeader('Content-Type'), 'text/html') === 0) { $response->header('Content-Security-Policy', "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; object-src 'none'; frame-ancestors 'none';"); } return $response; }

}

注意点：

• 'unsafe-inline' 仅用于开发期快速验证，上线前必须移除，改用 nonce 或哈希
• 若用了 Vue/React 等前端框架，script-src 需额外放行 CDN 或 blob:
• 不要在中间件里硬编码策略，建议从配置文件读取：config('security.csp')

更稳妥的方式：交给 Web 服务器（Nginx / Apache）

绝大多数生产环境，CSP 应由反向代理层控制。Nginx 配置示例：

location ~ \.php$ { # ... 其他 fastcgi 参数 add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:; object-src 'none';"; }

这样做的好处：

• 所有响应（包括静态资源、错误页）自动带上策略
• 无需 PHP 解析，性能无损耗
• 策略变更不需重启 PHP-FPM，改完 Nginx reload 即可
• 避免 PHP 层因异常未走到中间件导致漏加

如果真要临时测试，控制器里怎么加才不至于崩

仅限调试，且必须确保是最终响应（没被其他中间件覆盖）：

public function index() { $response = $this->fetch(); $response->header('Content-Security-Policy', "script-src 'self'; object-src 'none'"); return $response; }

但要注意：

• 不能用 $this->success() 或 $this->error() 这类封装方法，它们返回的是 JSON 响应，加 CSP 没意义还可能触发浏览器警告
• 不能在 redirect 响应里加，302 响应本就不该带 CSP
• 一旦启用 Content-Security-Policy-Report-Only，记得把日志上报地址配好，否则收不到违规报告

CSP 的真正难点不在“怎么加”，而在“加什么”——策略太松等于没设，太紧又会让页面白屏。务必先用 Content-Security-Policy-Report-Only 观察真实加载行为，再收敛策略。