使用PHP Artisan Make創(chuàng)建中間件：中間件AddCspheaders，并在句柄方法中實(shí)現(xiàn)CSP標(biāo)頭，并具有諸如default-src'self'之類的策略；同時(shí)避免生產(chǎn)中的“不安全界限”和“不安全的效果”； 2。在$中間軟件陣列中全球注冊(cè)中間件，或?qū)⑵鋺?yīng)用于app/http/kernel.php中的特定路由或組; 3。根據(jù)所需來源自定義策略，例如允許外部域進(jìn)行分析或CDN，并將Nonces用于內(nèi)聯(lián)腳本而不是不安全指令； 4。可選，通過添加報(bào)告-URI指令并創(chuàng)建違反日志的路線來啟用報(bào)告，同時(shí)為該端點(diǎn)禁用CSRF保護(hù)； 5。徹底測(cè)試策略，從嚴(yán)格的配置開始，并根據(jù)需要進(jìn)行調(diào)整以平衡安全性和功能，從而通過有效的CSP實(shí)施來保護(hù)您的Laravel應(yīng)用程序免受XSS和注射攻擊。

Laravel中的內(nèi)容安全策略（CSP）有助于保護(hù)您的應(yīng)用程序免受跨站點(diǎn)腳本（XSS），數(shù)據(jù)注入和其他客戶端攻擊，通過限制可以加載哪些資源（腳本，樣式，圖像等），可以加載。 Laravel默認(rèn)不包括CSP，但是您可以使用中間件有效地實(shí)現(xiàn)IT。這就是方法。

1。創(chuàng)建CSP中間件

首先生成一個(gè)中間件，該中間軟件將將Content-Security-Policy標(biāo)頭添加到您的HTTP響應(yīng)中。

運(yùn)行此工匠命令：

 PHP Artisan Make：中間件addcspheaders

然后，打開新創(chuàng)建的文件app/Http/Middleware/AddCspHeaders.php并修改handle方法：

 <？php

命名空間應(yīng)用\ http \ middleware;

使用閉合；

類addcspheaders
{
    公共功能句柄（$請(qǐng)求，關(guān)閉$ next）
    {
        $ response = $ next（$請(qǐng)求）;

        //僅在生產(chǎn)中應(yīng)用CSP
        if（app（） - >環(huán)境（&#39;procuction&#39;））{
            $csp = "default-src &#39;self&#39;; script-src &#39;self&#39; &#39;unsafe-inline&#39; &#39;unsafe-eval&#39;; style-src &#39;self&#39; &#39;unsafe-inline&#39;; img-src &#39;self&#39; data: https:; font-src &#39;self&#39;; frame-ancestors &#39;self&#39;; object-src &#39;none&#39;; form-action &#39;self&#39;;";

            $ RESPONDS->標(biāo)題（&#39;content-security-policy&#39;，$ csp）;
        }

        返回$響應(yīng)；
    }
}

？注意：如果可能的話，請(qǐng)避免生產(chǎn)中的'unsafe-inline'和'unsafe-eval' 。使用Nonces或Hashes而改為更好的安全性。

2。注冊(cè)中間件

您需要注冊(cè)中間件，因此Laravel將其應(yīng)用于請(qǐng)求。

選項(xiàng)A：全局中間件（適用于所有路線）

將其添加到app/Http/Kernel.php中的$middleware數(shù)組：

受保護(hù)$ middleware = [
    //其他中間件
    \ app \ http \ middleware \ addcspheaders :: class，
];

選項(xiàng)B：特定路線的中間件

如果您只想在某些路線上進(jìn)行CSP，請(qǐng)將其分配給中間件組或單個(gè)路線。

首先，將其添加到Kernel.php中的組中：

受保護(hù)的$ middlewaregroups = [
    'web'=> [
        //其他中間件
        \ app \ http \ middleware \ addcspheaders :: class，
    ]，，
];

或直接應(yīng)用于路線：

路由:: get（'/secure'，function（）{
    返回視圖（'Secure'）;
}） - > middleware（addcspheaders :: class）;

3。自定義CSP策略

根據(jù)您的應(yīng)用程序的需求來量身定制政策。例如：

• 如果您使用Google Analytics（分析）或CDN：

   script-src'self'https://www.google-analytics.com'unsaffe-inline';
  img-src'self'https://www.google-analytics.com數(shù)據(jù)：;

• 如果使用內(nèi)聯(lián)腳本（不推薦），請(qǐng)使用Nonces：

  根據(jù)請(qǐng)求生成一個(gè)nonce：

   $ nonce = base64_encode（Random_bytes（16））;

  然后設(shè)置：

   script-src'self''nonce-'。 $ nonce;

  在您的刀片模板中：

   <腳本nonce =“ {{{$ nonce}}}”>
      console.log（“允許”）;
  </script>

  通過view()->share()或中間件傳遞nonce。

4。使用報(bào)告（可選）

您還可以設(shè)置CSP報(bào)告以監(jiān)視違規(guī)行為：

添加report-uri或report-to指令：

 $ csp =“ default-src'self'; ...; report-uri /csp-report;“;”;

然后創(chuàng)建一條以處理報(bào)告的路線：

路由:: post（'/csp-report'，function（）{
    \ log ::警告（'csp違規(guī)：'，request（） - > all（all））;
    返回響應(yīng)（''，204）;
}） - >沒有middleware（[\ app \ http \ middleware \ verifycsrftoken :: class]）;

??禁用此端點(diǎn)的CSRF，因?yàn)镃SP報(bào)告是交叉原始的。

概括

• ?創(chuàng)建中間件以注入CSP標(biāo)頭
• ?在Kernel.php或特定路線上注冊(cè)
• ?根據(jù)您的資產(chǎn)和域名自定義指令
• ?盡可能避免不安全的做法
• ?使用報(bào)告捕獲和解決問題

使用正確配置的CSP，您的Laravel應(yīng)用程序?qū)SS和注射攻擊的彈性更大。開始嚴(yán)格，徹底測(cè)試并根據(jù)需要進(jìn)行調(diào)整。

基本上，設(shè)置并不難 - 只是中間件和一些仔細(xì)的政策調(diào)整。

以上是如何在Laravel中設(shè)置內(nèi)容安全策略（CSP）？的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！