摸鱼日记1 针对缺失“Content-Security-Policy“头漏洞整改建议

起因

        公司项目进行漏扫，提出几条整改意见（其他的都比较简单、已经解决），其中有一条是`针对缺失"Content-Security-Policy"头漏洞整改建议`,漏扫方建议

Nginx
在nginx.conf中进行设置：
server {
…
add_header Content-Security-Policy "default-src 'self';";
}

嗯，很简单，上手干。

nginx -s reload

服务起来了，访问一下 www.baidu.com

 访问又问题，明显的有页面访问不到、图片上传不上去，这不行啊。

 老哥建议我请求头加内容譬如

 我全加了一遍感觉还是有问题，弄了一个笨办法，把自己访问的域名全加一遍，遇到地图这种域名多的，csp还支持通配符配置，这才解决了漏扫（笨方法），如下图：

add_header Content-Security-Policy "default-src 'self'  *.map.gtimg.com mapapi.qq.com *.qq.com img.yzcdn.cn 'unsafe-inline' 'unsafe-eval' blob: data: ;";