Nginx 配置 Content-Security-Policy 头解决 AppScan 漏洞

Nginx 配置 Content-Security-Policy 头解决 AppScan 漏洞

AppScan 扫描出漏洞 'Content-Security-Policy' 头中缺少 'Script-Src' 或 'Default-src' 策略或相应策略不安全，可以通过在 Nginx 配置中添加 Content-Security-Policy 头来处理该漏洞。具体步骤如下：

1. 打开 Nginx 配置文件，通常为 /etc/nginx/nginx.conf。

2. 在 http 部分中添加以下内容：

add_header Content-Security-Policy 'default-src 'self'; script-src 'self' 'unsafe-inline';';

这个策略指定了默认源为本域名，并且只允许从本域名加载脚本，同时允许内联脚本 ('unsafe-inline')。

3. 保存并重启 Nginx 服务，使配置生效。

sudo service nginx restart

4. 重新运行 AppScan 扫描，检查是否已经修复该漏洞。

注意：

• 如果网站需要从其他域名加载脚本，需要将 'self' 替换为相应的域名。
• 尽可能避免使用 'unsafe-inline'，因为这会使网站更容易受到 XSS 攻击。