| 检测对象 | 请求参数中的脚本特征、响应内容 |
|---|---|
| 动作 | 阻断恶意请求、标记可疑响应 |
| 应用侧配合 | 输出编码 + CSP 响应头 |
响应头加固示例
响应头加固示例
add_header Content-Security-Policy "default-src 'self'; script-src 'self'" always;
add_header X-Content-Type-Options nosniff always;CSP 上线先用报告模式（Content-Security-Policy-Report-Only）观察。