常见漏洞验证121 条

CSP 策略有效性检查

检查 CSP 是否含 unsafe-inline/unsafe-eval、是否用通配源、是否覆盖关键页面；策略需按报告数据持续收紧。

关注	script-src 强度、通配源、object-src、base-uri
流程	先 Report-Only 收集 → 再强制
工具	violation 上报端点与日志

检查要点

1. 抓取关键页面的 CSP 头
2. 标出 unsafe-inline / unsafe-eval / 宽松通配
3. 核对 script-src 是否覆盖全部入口脚本
4. 建议：nonce/hash + Report-Only 渐进推进

存在 CSP 不等于有防护：宽松策略对 XSS 的缓解效果有限。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌