在宝塔面板Nginx配置中添加CSP需将add_header Content-Security-Policy "策略值" always;置于server或location /块内，用英文双引号包裹、单引号标注源、分号+空格分隔指令，且必须重载配置才生效。
直接在宝塔面板的网站配置文件里加 add_header Content-Security-Policy 指令就能生效，但必须注意指令位置、引号嵌套和指令值的空格分隔规则，否则 Nginx 会启动失败或策略被浏览器忽略。
在Nginx配置文件中正确添加CSP头部
宝塔默认使用 Nginx，CSP 必须通过 add_header 指令写入响应头，且需带 always 参数，否则 301/302 或错误页不会携带该头。
-
add_header必须放在server块或location /块内，不能放在http全局块（宝塔不支持） - 整条策略必须用双引号包裹，内部单引号（如
'self'）不能省略，也不能错写成中文引号 - 多个指令之间用英文分号 + 空格分隔，例如：
default-src 'self'; script-src 'self' https://cdn.example.com; - 若策略含
unsafe-inline或unsafe-eval，必须显式写出，不能省略引号 - 修改后务必点击【重载配置】，仅【保存】不生效
避免常见语法错误导致策略失效
以下错误在宝塔用户中高频出现，会导致 Nginx 启动失败或浏览器完全忽略 CSP：
- 把
Content-Security-Policy写成Content-Security-Policy:（多了一个冒号） - 在策略值里混用中文空格或全角分号，例如：
script-src 'self' https://a.com； - 漏掉
always参数：Nginx 默认只对 2xx 响应加 header，304、404、500 都不加 - 把 CSP 和其他
add_header写在同一行，用空格连接——Nginx 不识别，会报invalid number of arguments - 在 Apache 环境误用 Nginx 语法（如写
add_header），应改用Header set
根据实际需求选择宽松或严格策略
CSP 不能“抄一个就用”，得看站点是否依赖内联脚本、CDN 资源、第三方统计或 iframe：
- 纯静态站可起步用：
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data:; style-src 'self' 'unsafe-inline';" always; - 用了 jQuery CDN 和 Google Fonts：
script-src 'self' https://code.jquery.com; font-src 'self' https://fonts.gstatic.com; - 有内联
<script>但无法重构：必须加'unsafe-inline'，同时配合nonce（需后端注入） - 想监控违规但不阻断：改用
Content-Security-Policy-Report-Only头，并配report-uri "/csp-report" - 禁用所有插件和 iframe：
object-src 'none'; frame-src 'none';（注意不是frame-ancestors）
验证CSP是否真正生效
光看配置文件保存成功没用，必须实测浏览器行为：
- 打开 Chrome DevTools → Network → 刷新页面 → 点任意 HTML 请求 → 查看 Response Headers 中是否有
Content-Security-Policy - 故意插入测试脚本如
<script>alert(1)</script>，观察控制台是否报Refused to execute inline script - 检查 console 是否出现
CSP policy violated类警告，说明策略已加载但未阻断（可能是-Report-Only模式） - 用在线工具如 Google CSP Evaluator 粘贴你的策略，识别危险配置（如
unsafe-inline无 nonce）
最易被忽略的是：CSP 策略一旦启用，所有不符合规则的资源（包括字体、Ajax 接口、图片）都会静默失败，而错误日志只出现在浏览器控制台——服务器日志里完全看不到。上线前务必用真实终端和主流浏览器组合测试，别只信本地开发环境。
