必须使用 fiber.New() 创建实例并显式配置 helmet.Config{ContentSecurityPolicy: "..."} 才能生效，fiber.Default() 预挂载的 helmet 不支持 CSP 自定义，且无法覆盖；CSP 指令需严格匹配前端行为，否则导致资源拦截或脚本失效。
fiber.New() 是 CSP 配置的前提，不能用 fiber.Default()
直接在 fiber.Default() 实例上调用 helmet.New() 无法生效——因为 fiber.Default() 内部已预挂载了不带 CSP 的 helmet 实例，且默认关闭所有自定义配置入口。CSP 必须通过显式传入 helmet.Config{ContentSecurityPolicy: "..."} 并挂载到 fiber.New() 创建的干净实例上才起作用。
常见错误现象：启动后检查响应头，Content-Security-Policy 字段完全缺失，或值仍是默认空字符串。
- 开发阶段可用
fiber.Default()快速验证路由逻辑，但只要涉及安全头（尤其是 CSP），必须切到fiber.New() -
fiber.New()不自动挂任何中间件，所有安全配置都得手动注册，这是可控性的代价，也是生产环境的必要条件 - 别试图 patch
fiber.Default()的内部 helmet 实例——它的配置结构被封装在闭包里，不可覆盖
ContentSecurityPolicy 字段必须显式传入字符串，不能依赖 helmet 默认行为
helmet.New() 默认不会设置 CSP 响应头，即使你调用了它，响应里也不会出现 Content-Security-Policy。必须在 helmet.Config 中明确赋值 ContentSecurityPolicy 字段，否则等于没配。
示例正确写法：
app.Use(helmet.New(helmet.Config{
ContentSecurityPolicy: "default-src 'self'; script-src 'self' 'unsafe-inline' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:; connect-src 'self' https://api.example.com;",
}))
-
default-src 'self'是起点，不是终点；它只兜底未单独声明的指令，但script-src、style-src等仍需单独写，否则浏览器按默认策略执行（可能拦截内联样式） -
'unsafe-inline'在现代前端中常需保留（React/Vue 的内联事件、emotion/styled-components 的动态样式），但务必配合nonce或hash后续升级 - 如果用了 Webpack/Vite 构建，注意
script-src要包含https://cdn.example.com这类实际加载 JS 的域名，漏掉会导致白屏
CSP 指令与前端运行时行为强耦合，上线前必须真机验证
CSP 不是“配完就安全”的开关，它会真实拦截资源加载和脚本执行。很多项目上线后立刻报错，根源在于指令和前端实际行为不匹配。
典型误伤场景：
- 页面含
<script>console.log("init")</script>，但 CSP 中没加'unsafe-inline'→ 浏览器直接拒绝执行，控制台报Refused to execute inline script - 富文本渲染了
<img src="data:image/png;base64,...">，但 CSP 中没写img-src 'self' data:→ 图片加载失败 - 前端用
fetch("/api/user")，但connect-src只写了'self'，而 API 实际走https://api.example.com→ 请求被拦，Network 面板显示Blocked by CSP - 使用了 Google Analytics 或 Sentry，但没在
script-src或connect-src中放行对应域名 → 监控失效且无明显报错
动态 CSP 场景下，别硬编码字符串，改用函数生成策略
当你的应用支持多租户子域名（如 tenant1.app.com、tenant2.app.com），或需要根据用户角色差异化策略时，静态字符串配置会迅速失控。
正确做法是用闭包或中间件工厂生成策略：
app.Use(func(c *fiber.Ctx) error {
host := c.Hostname()
var csp string
if strings.HasPrefix(host, "admin.") {
csp = "default-src 'self'; script-src 'self' 'unsafe-inline';"
} else {
csp = "default-src 'self'; script-src 'self'; object-src 'none';"
}
c.Set("Content-Security-Policy", csp)
return c.Next()
})
- 避免在
helmet.Config里拼接字符串——helmet.New()初始化时只执行一次，无法响应不同请求 - 直接
c.Set()绕过 helmet 更灵活，但要确保它在所有可能写响应头的中间件之前执行（比如在 logger、recover 之前） - 若需 nonce 支持（防内联脚本），必须结合模板引擎或前端构建流程注入，单纯靠后端 header 无法解决
