如何在Tomcat中正确配置Content-Security-Policy响应头？

Question

在使用Tomcat部署Web应用时，如何正确配置Content-Security-Policy（CSP）响应头以增强应用的安全性？CSP用于防止XSS等恶意攻击，但许多开发者在配置时遇到问题，如策略未生效、配置方式不清晰或与其他安全头冲突等。本文将探讨如何在Tomcat中通过web.xml、过滤器或server.xml等方式正确设置CSP响应头，并提供常见问题的解决方案。

Answer 1

一、Content-Security-Policy（CSP）简介与作用

Content-Security-Policy（CSP）是一种HTTP响应头，用于防止跨站脚本攻击（XSS）、数据注入等安全漏洞。通过定义资源加载的白名单策略，CSP可以有效阻止浏览器加载恶意脚本、样式或图片等资源。

在Web应用中，CSP的配置需要结合具体业务需求，合理设置策略内容，并确保其在部署环境中正确生效。

二、Tomcat中配置CSP的三种常见方式

1. web.xml配置方式：适用于简单的静态头设置，通过<filter>或<filter-mapping>配置。
2. 过滤器（Filter）实现：适用于需要动态生成CSP头的场景，如根据用户角色或请求路径动态调整策略。
3. server.xml配置：通过Valve组件配置HTTP头，适用于全局配置或多个应用共享策略。

三、通过web.xml配置CSP响应头

在web.xml中使用SetResponseHeaderFilter类来设置CSP头：

<filter>
    <filter-name>CSPFilter</filter-name>
    <filter-class>org.apache.catalina.filters.SetResponseHeaderFilter</filter-class>
    <init-param>
        <param-name>Content-Security-Policy</param-name>
        <param-value>default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'</param-value>
    </init-param>
</filter>

<filter-mapping>
    <filter-name>CSPFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

注意：该方式适用于Tomcat 7及以上版本，且需要确保web.xml中没有其他覆盖该头的配置。

四、通过自定义Filter实现CSP头动态配置

自定义Filter可以更灵活地控制CSP策略，适用于需要根据请求路径、用户角色等动态生成策略的场景。

public class CSPHeaderFilter implements Filter {
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self' https://trusted-cdn.com");
        chain.doFilter(request, response);
    }
}

在web.xml中注册该Filter：

<filter>
    <filter-name>CSPHeaderFilter</filter-name>
    <filter-class>com.example.CSPHeaderFilter</filter-class>
</filter>

<filter-mapping>
    <filter-name>CSPHeaderFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

五、通过server.xml配置CSP头（全局配置）

在Tomcat的server.xml中配置RemoteIpValve或HttpHeaderSecurityValve来设置全局CSP头：

<Valve className="org.apache.catalina.valves.HttpHeaderSecurityValve"
    contentSecurityPolicy="default-src 'self'; script-src 'self' 'unsafe-inline'" />

该配置适用于Tomcat 8.5及以上版本，作用范围为整个应用服务器。

六、CSP配置常见问题及解决方案

问题描述	可能原因	解决方案
CSP策略未生效	配置顺序错误、被其他头覆盖	检查web.xml中Filter顺序；确保没有其他安全头（如X-Content-Type-Options）冲突
策略过于宽松导致安全风险	使用了'unsafe-inline'或'unsafe-eval'	移除不必要的宽松策略，改用nonce或hash方式
浏览器控制台报CSP违规	策略限制了合法资源加载	查看违规报告，调整策略内容；使用report-uri收集违规日志

七、CSP策略优化与调试建议

1. 使用Content-Security-Policy-Report-Only头进行策略调试。
2. 通过浏览器开发者工具查看CSP违规报告。
3. 结合日志分析工具（如ELK、Splunk）分析CSP报告。

八、CSP与其他安全头的兼容性问题

常见的安全头如X-Content-Type-Options、X-Frame-Options、X-XSS-Protection等可能与CSP存在冲突。建议：

• 优先使用CSP替代旧的安全头。
• 若必须共存，需确保策略逻辑不冲突。

九、CSP策略示例与推荐配置

Content-Security-Policy: default-src 'self';
    script-src 'self' https://trusted-cdn.com;
    style-src 'self' 'unsafe-inline';
    img-src 'self' data:;
    connect-src 'self';
    font-src 'self';
    object-src 'none';
    media-src 'self';
    frame-src 'none';
    report-uri /csp-violation-report-endpoint;

十、总结与进阶建议

本文介绍了在Tomcat中配置Content-Security-Policy的多种方式，包括web.xml、Filter和server.xml，并分析了常见配置问题及解决方案。开发者应根据实际业务需求选择合适的配置方式，并结合日志和浏览器工具持续优化CSP策略。