Java应用中的内容安全策略（CSP）：防范XSS与数据注入的实践
大家好，今天我们来深入探讨如何在Java应用中利用内容安全策略（CSP）来有效防范跨站脚本攻击（XSS）和数据注入等安全威胁。XSS和数据注入是Web应用安全领域中最常见的漏洞类型，可能导致用户数据泄露、会话劫持、恶意代码执行等严重后果。CSP作为一种强大的安全机制，能够显著降低这些风险。
1. XSS与数据注入攻击：背景与危害
1.1 跨站脚本攻击（XSS）
XSS攻击指的是攻击者将恶意脚本注入到受信任的网站页面中，当用户浏览这些包含恶意脚本的页面时，脚本会在用户的浏览器上执行。攻击者可以利用XSS窃取用户的Cookie、会话信息，甚至冒充用户执行操作。
XSS攻击主要分为以下三种类型：
-
存储型XSS（Persistent XSS）： 恶意脚本存储在服务器端，例如数据库、留言板等。当用户访问包含这些恶意脚本的页面时，脚本会被执行。危害性最高，影响范围广。
-
反射型XSS（Reflected XSS）： 恶意脚本通过URL参数、表单提交等方式传递到服务器，服务器未经处理直接返回给用户。用户点击包含恶意脚本的URL或者提交包含恶意脚本的表单时，脚本会被执行。
-
DOM型XSS（DOM-based XSS）： 恶意脚本不经过服务器，而是直接通过修改DOM结构来执行。这种攻击通常利用客户端JavaScript代码的漏洞。
1.2 数据注入攻击
数据注入攻击是指攻击者通过构造恶意的输入数据，欺骗应用程序执行非预期的操作。最常见的数据注入攻击是SQL注入，攻击者通过在输入框中输入恶意的SQL代码，绕过身份验证，获取敏感数据，甚至修改数据库内容。
危害：
- 数据泄露： 攻击者可以窃取用户的个人信息、银行卡号、密码等敏感数据。
- 会话劫持： 攻击者可以获取用户的会话ID，冒充用户登录并执行操作。
- 恶意代码执行： 攻击者可以在用户的浏览器上执行恶意脚本，例如植入木马病毒。
- 网站篡改： 攻击者可以修改网站的内容，传播虚假信息。
- 拒绝服务（DoS）： 攻击者可以通过发送大量的恶意请求，导致服务器崩溃。
2. 内容安全策略（CSP）简介
内容安全策略（CSP）是一种HTTP响应头，它允许网站管理者控制浏览器能够加载的资源。通过定义CSP，我们可以限制浏览器只能加载来自特定来源的资源，从而有效防止XSS攻击和数据注入攻击。
CSP的核心思想：
- 显式声明： 明确告诉浏览器哪些来源的资源是可信的。
- 白名单机制： 只有在白名单中的来源才能被加载，其他来源的资源将被浏览器阻止。
CSP的优势：
- 强大的安全保护： 可以有效地防止XSS攻击和数据注入攻击。
- 易于配置： 可以通过HTTP响应头或者HTML meta标签来配置CSP。
- 浏览器支持广泛： 大部分主流浏览器都支持CSP。
3. CSP指令详解
CSP指令用于定义允许加载的资源类型和来源。以下是常用的CSP指令：
| 指令 | 描述 | 示例 |
|---|---|---|
default-src |
定义所有类型资源的默认来源。 | default-src 'self' |
script-src |
定义JavaScript脚本的有效来源。 | script-src 'self' https://example.com |
style-src |
定义CSS样式的有效来源。 | style-src 'self' 'unsafe-inline' |
img-src |
定义图片的有效来源。 | img-src 'self' data: |
font-src |
定义字体的有效来源。 | font-src 'self' https://fonts.gstatic.com |
connect-src |
定义XMLHttpRequest、WebSocket和EventSource的有效来源。 | connect-src 'self' wss://example.com |
media-src |
定义音视频资源的有效来源。 | media-src 'self' |
object-src |
定义<object>、<embed>和<applet>元素的有效来源。 |
object-src 'none' |
frame-src |
定义<frame>和<iframe>元素的有效来源。 |
frame-src 'self' https://example.com |
base-uri |
定义<base>元素的有效URL。 |
base-uri 'self' |
form-action |
定义<form>元素提交数据的有效URL。 |
form-action 'self' |
upgrade-insecure-requests |
指示浏览器将所有不安全的URL（HTTP）升级为安全的URL（HTTPS）。 | upgrade-insecure-requests |
block-all-mixed-content |
阻止加载任何使用HTTP协议的资源，即使网站本身是通过HTTPS访问的。 主要用于确保在HTTPS网站上不会加载任何HTTP资源，以防止中间人攻击。 | block-all-mixed-content |
report-uri |
指定一个URL，浏览器会将违反CSP策略的报告发送到该URL。该指令已废弃，推荐使用report-to代替。 |
report-uri /csp-report |
report-to |
指定一个或多个组名，用于将CSP违规报告发送到与这些组名关联的端点。需要在Content-Security-Policy-Report-Only 和 Reporting-Endpoints一起使用。 |
report-to csp-endpoint |
worker-src |
定义Worker、SharedWorker或ServiceWorker脚本的有效来源。 |
worker-src 'self' |
sandbox |
为由指令指定的资源启用沙箱。 例如，sandbox allow-forms allow-scripts。 |
sandbox allow-forms allow-scripts |
require-trusted-types-for |
启用受信任类型，以防止DOM XSS。 | require-trusted-types-for 'script' |
trusted-types |
指定允许创建受信任类型的策略名称。 | trusted-types my-policy |
常见的来源值：
'self': 允许加载来自同一来源的资源（同协议、同域名、同端口）。'none': 不允许加载任何来源的资源。'unsafe-inline': 允许使用内联JavaScript脚本和CSS样式。强烈不推荐，除非必要！'unsafe-eval': 允许使用eval()函数和new Function()。强烈不推荐！'strict-dynamic': 允许由信任的脚本加载的脚本也自动被信任。'unsafe-hashes': 允许特定的内联事件处理程序。data:: 允许使用data:URLs（例如，用于嵌入图片）。mediastream:: 允许使用mediastream:URLs（用于访问本地媒体流）。blob:: 允许使用blob:URLs（用于二进制大对象）。filesystem:: 允许使用filesystem:URLs (用于文件系统 API)。https://example.com: 允许加载来自特定域名的资源。*: 允许加载来自任何来源的资源。强烈不推荐！
示例：
Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;这个CSP策略的含义是：
- 所有类型的资源默认只允许从当前域名加载。
- JavaScript脚本允许从当前域名和
https://cdn.example.com加载。 - CSS样式允许从当前域名加载，并且允许使用内联样式（不推荐）。
- 图片允许从当前域名加载，并且允许使用
data:URLs。
4. 在Java应用中配置CSP
在Java应用中配置CSP，可以通过以下两种方式：
4.1 HTTP响应头
这是最常用的方式。可以在Servlet、Filter或者框架的拦截器中设置HTTP响应头。
示例（Servlet）：
import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
@WebServlet("/csp-example")
public class CspExampleServlet extends HttpServlet {
@Override
protected void doGet(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
response.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self' https://code.jquery.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:; report-uri /csp-report");
response.setContentType("text/html");
response.getWriter().println("<html><head><title>CSP Example</title></head><body><h1>CSP Example Page</h1><script src="https://code.jquery.com/jquery-3.6.0.min.js"></script><script>console.log('Hello from jQuery!');</script><img src='data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAUAAAAFCAYAAACNbyblAAAAHElEQVQI12P4//8/w+n4AwMDAwMDAwMDADgX2wAAAAAASUVORK5CYII='/></body></html>");
}
}示例（Spring Interceptor）：
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;
public class CSPInterceptor implements HandlerInterceptor {
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
throws Exception {
response.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self' https://code.jquery.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:; report-uri /csp-report");
return true;
}
@Override
public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler,
ModelAndView modelAndView) throws Exception {
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex)
throws Exception {
}
}需要在Spring配置中注册该拦截器：
<mvc:interceptors>
<mvc:interceptor>
<mvc:mapping path="/**"/>
<bean class="com.example.CSPInterceptor"/>
</mvc:interceptor>
</mvc:interceptors>4.2 HTML meta标签
可以在HTML页面的<head>标签中添加<meta>标签来配置CSP。这种方式不如HTTP响应头灵活，因为它只能用于静态HTML页面。
示例：
<!DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self' https://code.jquery.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;">
<title>CSP Example</title>
</head>
<body>
<h1>CSP Example Page</h1>
<script src="https://code.jquery.com/jquery-3.6.0.min.js"></script>
<script>console.log('Hello from jQuery!');</script>
<img src='data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAUAAAAFCAYAAACNbyblAAAAHElEQVQI12P4//8/w+n4AwMDAwMDAwMDADgX2wAAAAAASUVORK5CYII='/>
</body>
</html>5. CSP报告
当浏览器检测到违反CSP策略的行为时，可以发送报告到指定的URL。这有助于开发者了解哪些资源被阻止，并及时调整CSP策略。
5.1 report-uri指令（已废弃，不推荐使用）
在CSP策略中使用report-uri指令指定报告URL。
示例：
Content-Security-Policy: default-src 'self'; script-src 'self'; report-uri /csp-report5.2 report-to指令（推荐使用）
report-to指令需要配合Reporting-Endpoints HTTP 响应头一起使用。
示例：
首先，在HTTP响应头中设置 Reporting-Endpoints:
Reporting-Endpoints: csp-endpoint="https://example.com/csp-report"
Content-Security-Policy: default-src 'self'; script-src 'self'; report-to csp-endpoint然后，创建一个处理CSP报告的Servlet或Controller：
import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.BufferedReader;
import com.google.gson.Gson;
@WebServlet("/csp-report")
public class CspReportServlet extends HttpServlet {
@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
StringBuilder buffer = new StringBuilder();
BufferedReader reader = request.getReader();
String line;
while ((line = reader.readLine()) != null) {
buffer.append(line);
}
String payload = buffer.toString();
// 使用Gson解析JSON
Gson gson = new Gson();
CSPReport report = gson.fromJson(payload, CSPReport.class);
// 打印违规报告信息
System.out.println("CSP Violation Report:");
System.out.println(" Document URI: " + report.get("csp-report").get("document-uri"));
System.out.println(" Violated Directive: " + report.get("csp-report").get("violated-directive"));
System.out.println(" Blocked URI: " + report.get("csp-report").get("blocked-uri"));
// 可以将报告信息记录到日志或数据库中
// ...
response.setStatus(204); // 204 No Content - 成功处理，无需返回任何内容
}
}
class CSPReport {
private java.util.Map<String, java.util.Map<String, String>> cspReport;
public java.util.Map<String, java.util.Map<String, String>> get() {
return cspReport;
}
}这个Servlet接收浏览器发送的CSP报告，并将报告内容打印到控制台。你可以根据需要将报告信息记录到日志或数据库中。
5.3 Content-Security-Policy-Report-Only
Content-Security-Policy-Report-Only 是CSP的一个特殊版本，它不会阻止违反策略的行为，而是只发送报告。这允许开发者在不影响用户体验的情况下测试和调整CSP策略。
示例：
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self'; report-uri /csp-report6. CSP的最佳实践
- 从严格的策略开始： 初始时，使用一个非常严格的策略，只允许加载来自当前域名的资源。
- 逐步放宽策略： 根据实际需要，逐步放宽策略，添加允许加载的外部资源来源。
- 使用
Content-Security-Policy-Report-Only进行测试： 在生产环境中部署CSP之前，先使用Content-Security-Policy-Report-Only进行测试，确保策略不会影响用户体验。 - 监控CSP报告： 定期查看CSP报告，了解哪些资源被阻止，并及时调整策略。
- 避免使用
'unsafe-inline'和'unsafe-eval'： 尽可能避免使用'unsafe-inline'和'unsafe-eval'，因为它们会降低CSP的安全性。如果必须使用，请考虑使用'unsafe-hashes'或'nonce'。 - 使用
nonce或hash： 对于内联脚本和样式，可以使用nonce或hash来精确控制哪些内联代码可以执行。 - 升级不安全请求： 使用
upgrade-insecure-requests指令强制浏览器将所有HTTP请求升级为HTTPS请求。 - 阻止混合内容： 使用
block-all-mixed-content指令阻止加载任何HTTP资源。 - 使用 trusted-types： 通过
require-trusted-types-for和trusted-types指令来启用受信任类型，增强对 DOM XSS 的防御。 - 持续更新和维护： 随着应用程序的演进，定期审查和更新 CSP 策略，确保其仍然有效且满足安全需求。
- 结合其他安全措施： CSP 只是安全防御体系的一部分，应该与其他安全措施（例如，输入验证、输出编码、Web应用防火墙）结合使用，以提供更全面的安全保护。
7. 代码示例：使用Nonce来允许内联脚本
为了避免使用 'unsafe-inline'，我们可以使用 nonce 属性来允许特定的内联脚本执行。
7.1 生成Nonce
首先，在服务器端生成一个随机的 nonce 值。
import java.util.Base64;
import java.security.SecureRandom;
public class NonceGenerator {
public static String generateNonce() {
SecureRandom secureRandom = new SecureRandom();
byte[] nonceBytes = new byte[16];
secureRandom.nextBytes(nonceBytes);
return Base64.getEncoder().encodeToString(nonceBytes);
}
public static void main(String[] args) {
String nonce = generateNonce();
System.out.println("Generated Nonce: " + nonce);
}
}7.2 在Servlet或Interceptor中设置CSP和Nonce
import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
@WebServlet("/nonce-example")
public class NonceExampleServlet extends HttpServlet {
@Override
protected void doGet(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
String nonce = NonceGenerator.generateNonce();
request.setAttribute("nonce", nonce); // 将 nonce 存储在 request 作用域
response.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self' 'nonce-" + nonce + "'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; report-uri /csp-report");
response.setContentType("text/html");
response.getWriter().println("<html><head><title>CSP Nonce Example</title></head><body><h1>CSP Nonce Example Page</h1><script nonce="" + nonce + "">console.log('Hello from inline script!');</script></body></html>");
}
}7.3 在JSP页面中使用Nonce
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<% String nonce = (String) request.getAttribute("nonce"); %>
<html>
<head>
<title>CSP Nonce Example</title>
</head>
<body>
<h1>CSP Nonce Example Page</h1>
<script nonce="<%= nonce %>">console.log('Hello from inline script!');</script>
</body>
</html>在这个例子中，我们生成了一个随机的 nonce 值，并将其添加到CSP策略和内联脚本的 nonce 属性中。只有具有匹配 nonce 值的内联脚本才能被执行。
8. 总结：构建更安全的Java Web应用
内容安全策略（CSP）是防御XSS和数据注入等Web安全威胁的重要手段。 通过合理配置CSP指令，可以有效限制浏览器加载的资源来源，降低恶意代码执行的风险。 结合其他安全措施，持续更新和维护CSP策略，能够构建更加安全的Java Web应用。