内容安全策略

内容安全策略 (CSP) 对于保护您的 Next.js 应用程序免受各种安全威胁（例如跨站点脚本 (XSS)、点击劫持和其他代码注入攻击）非常重要。

通过使用 CSP，开发人员可以指定哪些来源对于内容源、脚本、样式表、图像、字体、对象、媒体（音频、视频）、iframe 等是允许的。

示例

严格的 CSP

Nonce

一个 nonce 是一个为一次性使用而创建的唯一随机字符串。它与 CSP 结合使用，以选择性地允许某些内联脚本或样式执行，从而绕过严格的 CSP 指令。

为什么要使用 nonce？

尽管 CSP 旨在阻止恶意脚本，但在某些情况下仍然需要内联脚本。在这种情况下，如果脚本具有正确的 nonce，则 nonce 提供了一种允许这些脚本执行的方法。

使用中间件添加 nonce

中间件使您能够在页面渲染之前添加标头和生成 nonce。

每次查看页面时，都应生成一个新的 nonce。这意味着您**必须使用动态渲染来添加 nonce**。

例如

middleware.ts

import { NextRequest, NextResponse } from 'next/server'
 
export function middleware(request: NextRequest) {
  const nonce = Buffer.from(crypto.randomUUID()).toString('base64')
  const cspHeader = `
    default-src 'self';
    script-src 'self' 'nonce-${nonce}' 'strict-dynamic';
    style-src 'self' 'nonce-${nonce}';
    img-src 'self' blob: data:;
    font-src 'self';
    object-src 'none';
    base-uri 'self';
    form-action 'self';
    frame-ancestors 'none';
    upgrade-insecure-requests;
`
  // Replace newline characters and spaces
  const contentSecurityPolicyHeaderValue = cspHeader
    .replace(/\s{2,}/g, ' ')
    .trim()
 
  const requestHeaders = new Headers(request.headers)
  requestHeaders.set('x-nonce', nonce)
 
  requestHeaders.set(
    'Content-Security-Policy',
    contentSecurityPolicyHeaderValue
  )
 
  const response = NextResponse.next({
    request: {
      headers: requestHeaders,
    },
  })
  response.headers.set(
    'Content-Security-Policy',
    contentSecurityPolicyHeaderValue
  )
 
  return response
}

默认情况下，中间件在所有请求上运行。您可以使用matcher 过滤中间件以在特定路径上运行。

我们建议忽略匹配的预取 (来自 next/link) 和不需要 CSP 标头的静态资产。

middleware.ts

export const config = {
  matcher: [
    /*
     * Match all request paths except for the ones starting with:
     * - api (API routes)
     * - _next/static (static files)
     * - _next/image (image optimization files)
     * - favicon.ico (favicon file)
     */
    {
      source: '/((?!api|_next/static|_next/image|favicon.ico).*)',
      missing: [
        { type: 'header', key: 'next-router-prefetch' },
        { type: 'header', key: 'purpose', value: 'prefetch' },
      ],
    },
  ],
}

读取 nonce

您现在可以使用服务器组件中的 headers 从服务器组件读取 nonce。

app/page.tsx

import { headers } from 'next/headers'
import Script from 'next/script'
 
export default async function Page() {
  const nonce = (await headers()).get('x-nonce')
 
  return (
    <Script
      src="https://127.0.0.1/gtag/js"
      strategy="afterInteractive"
      nonce={nonce}
    />
  )
}

无 nonce

对于不需要 nonce 的应用程序，您可以在 next.config.js 文件中直接设置 CSP 标头。

next.config.js

const cspHeader = `
    default-src 'self';
    script-src 'self' 'unsafe-eval' 'unsafe-inline';
    style-src 'self' 'unsafe-inline';
    img-src 'self' blob: data:;
    font-src 'self';
    object-src 'none';
    base-uri 'self';
    form-action 'self';
    frame-ancestors 'none';
    upgrade-insecure-requests;
`
 
module.exports = {
  async headers() {
    return [
      {
        source: '/(.*)',
        headers: [
          {
            key: 'Content-Security-Policy',
            value: cspHeader.replace(/\n/g, ''),
          },
        ],
      },
    ]
  },
}

版本历史

我们建议使用 Next.js 的 v13.4.20+ 版本来正确处理和应用 nonce。