Nginx 配置 Content-Security-Policy 漏洞修复：解决 AppScan 'Style-Src' 和 'Default-Src' 问题

AppScan 扫描出漏洞 'Content-Security-Policy' 中缺少 'Style-Src' 或 'Default-Src' 策略或相应策略不安全，服务器的域名为 https://172.16.15.87:8444，并且允许 https://172.16.15.87:8090，如何通过 nginx 处理。

可能会收集有关 Web 应用程序的敏感信息，如用户名、密码、机器名和/或敏感文件位置 可能会劝说初级用户提供诸如用户名、密码、信用卡号、社会保险号等敏感信息 缺少 style-src 指令 (CSP) 或 style-src 指令值不正确可能导致 Web 应用程序更容易受到跨站点脚本编制攻击。 'Content-Security-Policy' 头旨在修改浏览器呈现页面的方式，从而防止各种跨站点注入，包括跨站点脚本编制。以不会妨碍 Web 站点正常运行 的方式正确设置头值非常重要。例如，如果头设置为阻止执行内联 JavaScript，则 Web 站点不得在其页面中使用内联 JavaScript。 'style-src' 内容安全策略 (CSP) 指令会保护 CSS 样式和样式表的装入和执行。 为防止跨站点脚本编制 (XSS)，使用正确值设置策略非常重要： 对于'style-src'，应避免'*'、'data:'、'http:'、'https:'、'ws:'、'wss:'、'unsafe-inline' 或 'unsafe-eval' 等不安全值。 如果未明确设置 style-src 指令，则考虑使用 default-src，其可作为许多指令的备用指令，包括 script-src。 对于'default-src' 指令，也应避免使用不安全的值。

要通过 nginx 处理这个漏洞，可以在 nginx 配置文件中添加以下内容：

add_header Content-Security-Policy 'default-src https://172.16.15.87:8444 https://172.16.15.87:8090; style-src https://172.16.15.87:8444 https://172.16.15.87:8090';

这将添加一个名为 'Content-Security-Policy' 的头，其中包含 'default-src' 和 'style-src' 指令，分别设置为允许来自 https://172.16.15.87:8444 和 https://172.16.15.87:8090 的资源。这将帮助防止跨站点脚本编制攻击，并保护敏感信息。此外，应避免使用不安全的值，如 ' * ' 、 ' data: ' 、 ' http: ' 、 ' https: ' 、 ' ws: ' 、 ' wss: ' 、 ' unsafe-inline ' 或 ' unsafe-eval '。