ThinkPHP本身不内置CSP配置机制，必须通过中间件或事件监听统一注入响应头；控制器中直接调用header()易因输出提前或生命周期错位而失效，正确做法是在中间件handle方法中于$next($request)后设置header并返回$response，或通过response_send事件动态生成nonce并同步注入响应头与模板。
ThinkPHP 本身不内置 CSP 配置机制，必须手动注入响应头；直接在控制器里写 header() 极易因输出提前或框架生命周期阶段错位而失效，正确做法是通过中间件或全局响应事件统一注入。
ThinkPHP 6 中间件方式注入 CSP 头
这是最稳定、可复用的方式，避免了控制器中调用 header() 的时机风险。
- 创建中间件：
php think make:middleware SecurityHeaderMiddleware - 在
handle()方法中设置头，注意必须在$next($request)之前调用：public function handle($request, \Closure $next) { $response = $next($request); $response->header('Content-Security-Policy', "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;"); return $response; } - 注册中间件：在
app/middleware.php中加入该中间件（全局或路由组级） - ⚠️关键点：不能在
$response返回后才设头，也不能在$next()前设（此时$response还未生成）
ThinkPHP 5.1/6.0 的事件监听方式（推荐用于动态 nonce）
当需要为每个请求生成唯一 nonce 并注入到模板和响应头时，事件比中间件更可控。
- 在
app/event.php中监听response_send事件（TP6）或response_init（TP5.1） - 生成随机
nonce并存入think\facade\View或传递给模板变量 - 同时调用
$response->header()注入含nonce的策略，例如：script-src 'self' 'nonce-'. $nonce .'; - 模板中对应写：
<script nonce="= $nonce ?>">...</script> - ⚠️漏掉任一环节（模板没传
nonce、响应头没写、或值不一致）都会导致脚本被拦截
为什么在控制器里写 header() 常常没效果
ThinkPHP 的视图渲染、异常处理、日志写入等流程都可能在控制器逻辑之后、响应发送之前触发隐式输出，导致 header() 调用失败且无报错。
立即学习“PHP免费学习笔记（深入）”；
-
echo、var_dump()、甚至文件末尾多一个空行或 UTF-8 BOM 都会让headers_sent()返回 true - 框架自动输出的调试信息（如开启
app_debug = true）会提前触发输出 - 使用
Response::create()->header(...)->send()是绕过方式，但破坏了框架响应流程，不建议 - 验证是否生效：打开浏览器 Network 面板 → 看响应头里是否有
Content-Security-Policy，而不是只看 PHP 是否执行了那行代码
开发期必须用 Report-Only 模式试跑
直接上线完整 CSP 极易阻断 jQuery、Vue Devtools、内联统计代码等，先用报告模式收集真实违规行为再收敛策略。
- 把中间件中的头改为：
Content-Security-Policy-Report-Only - 加上
report-uri /csp-report（TP6 可用路由 + 控制器接收file_get_contents('php://input')） - 注意：TP 默认关闭跨域请求体解析，需在
config/app.php中确认'allow_cross_domain' => true或手动处理原始 POST - 报告里暴露的是真实执行环境下的问题——比如某 CDN 域名拼错、某个第三方插件用了
eval、某处漏写了nonce，比凭空猜测可靠得多
CSP 不是“加个头就完事”，ThinkPHP 的响应构造链路长、扩展点分散，最容易忽略的是：nonce 值必须两端严格一致、report-uri 接口要能承受高频 POST、以及所有非 'self' 的资源域名必须协议+域名完全匹配（https://cdn.example.com ≠ http://cdn.example.com）。
