CSP 与 SRI：只让自己的代码运行

全文分三层：

1. 通俗理解：为什么一行外部脚本就能毁掉一个网站
2. 实际用处：英航 Magecart、polyfill.io、Ledger Connect Kit
3. 原理与工程要点：CSP 指令逐条解读、SRI 的写法、违规上报

第一层：通俗理解

1.1 外部脚本 = 把家门钥匙交给别人

很多网站会这样引用第三方代码：

<script src="https://cdn.某统计服务.com/track.js"></script>

这行代码的意思是："去那台服务器拿一段代码，以我的身份运行。"如果那台服务器被黑了，或者域名换了主人，它返回什么代码，你的页面就运行什么代码，包括"把用户输入的信用卡号发到我这里"。

1.2 两道防线

第二层：实际用处

这一类攻击统称 Magecart（网页侧录）或供应链攻击：攻击者不碰你的服务器，而是改你信任的第三方代码。

Caloogy Wallet 也采用了零第三方脚本加严格 CSP 的做法。

第三层：原理与工程要点

3.1 一个严格的 CSP

Content-Security-Policy:
  default-src 'none';
  script-src 'self';
  style-src 'self';
  img-src 'self' data:;
  connect-src 'self' https://api.example.com;
  frame-ancestors 'none';
  base-uri 'none';
  form-action 'self';
  report-to csp-endpoint

上线前可以先用 Content-Security-Policy-Report-Only 只报告不拦截，观察一段时间，确认没有误伤再正式启用。

3.2 SRI 的写法

<script src="https://cdn.example.net/lib-4.2.1.min.js"
        integrity="sha384-（文件内容的 SHA-384 哈希，base64 编码）"
        crossorigin="anonymous"></script>

浏览器下载文件后计算哈希，对不上就拒绝执行。它依赖哈希函数的抗第二原像性质：攻击者无法造出一个内容不同、哈希却相同的恶意文件（见《生日悖论与哈希碰撞》）。

局限：SRI 只能用于固定版本的文件。如果引用的是"永远最新版"的地址，内容会变，哈希也会变，SRI 就用不了。而"永远最新版"恰恰是 Ledger Connect Kit 事件的根源。

3.3 零第三方脚本

对于签名、支付、登录这类页面，最稳妥的做法是：

1. 所有依赖锁定版本，在构建时打包进自己的代码，不从任何 CDN 运行时加载；
2. 不放统计、广告、客服聊天等任何第三方脚本；
3. 依赖升级走人工审查，不开自动合并；
4. 注意托管平台本身也可能往页面里插东西（统计、性能优化、邮箱混淆脚本），需要关掉，或者加 Cache-Control: no-transform 并定期巡检（见《Bybit事件与前端完整性》）。

3.4 CSP 防不了什么

• 攻击者如果能直接改你服务器上的文件（'self' 的来源），CSP 照样放行；
• 构建过程被投毒，恶意代码已经在"自己的代码"里了。

这两种情况要靠部署链路的安全和线上完整性巡检来防。

总结