Symfony CSP需显式配置响应头，通过kernel.response事件监听器设置Content-Security-Policy头；基础策略以default-src 'self'为安全基线，配合nonce机制支持内联脚本，启用report-to实现违规监控与持续优化。
Symfony内容安全策略（CSP）不是开箱即用的默认配置，必须显式声明并注入响应头，否则浏览器不会执行任何限制。核心在于通过事件监听或响应修饰机制，在每个响应发出前准确设置 Content-Security-Policy HTTP 头。
基础配置：从响应头开始
CSP 本质是一组由浏览器强制执行的指令，全部通过响应头传递。Symfony 没有内置 CSP 生成器，但提供了标准扩展点：
- 推荐使用
ResponseEvent（kernel.response事件），在事件监听器中调用$response->headers->set('Content-Security-Policy', $policy) - 避免在控制器里硬编码策略——策略应集中管理、可复用、支持环境差异
- 开发阶段建议先启用报告模式：
Content-Security-Policy-Report-Only，观察违规而不阻断功能
最小可行策略：先收紧再放开
不要一上来就写满所有指令。从最严格的默认源起步，逐步放宽必要部分：
-
default-src 'self'：禁止一切跨域资源加载，是安全基线 -
script-src 'self' 'unsafe-inline' 'unsafe-eval'→ 开发时临时允许，上线前必须移除后两者，改用nonce或哈希 -
style-src 'self' 'unsafe-inline'→ 同样，内联样式应转为外部 CSS 或带nonce -
img-src 'self' data:：允许本地图片和 base64 图片，禁用远程图片（除非业务必需）
动态 nonce 支持：解决内联脚本/样式的刚需
很多前端框架（如 Twig 渲染的 JS 初始化代码）依赖内联脚本。直接禁用会破坏功能，正确做法是引入随机 nonce：
- 在请求生命周期早期（如
kernel.request）生成一次随机字符串，存入请求属性或服务容器 - Twig 模板中用
{{ csp_nonce }}输出到<script nonce="{{ csp_nonce }}"> - 监听器中将同一
nonce注入script-src 'nonce-xxx'指令 - 确保每次请求的
nonce唯一且不可预测（用random_bytes(16)+ base64 编码）
上报与迭代：让 CSP 持续生效
CSP 不是一次性配置，而是需要监控反馈的闭环过程：
- 配置
report-to指令指向一个接收端点（如/csp-report），注意该端点本身要能处理application/csp-report类型的 POST 请求 - 上报内容含违规资源 URL、违反的指令、用户代理等，可用于识别漏配或第三方脚本变更
- 日志中聚合高频违规项，判断是误配（需调整策略）还是真实攻击尝试（需加固）
- 定期审查策略——第三方库升级、CDN 切换、新功能上线都可能触发新违规
不复杂但容易忽略：CSP 的有效性完全取决于响应头是否被正确、稳定、无覆盖地设置。务必检查反向代理（如 Nginx）是否清除了该头，也确认其他中间件（如缓存层、安全模块）没有意外覆写它。
