網站掃描CSP弱點問題

 最近被網站弱點掃描的CSP問題困擾很久，CSP問題主要是兩種：

1.在CSP中允許內聯腳本執行

2.從CSP中缺少必要的指令

AppScan這兩個問題提供的處理方式都是「配置正確值的Content-Security-Policy」，等於沒說。

後來才發現AppScan無法處理多層的Content-Security-Policy，例如在httpd.conf中設定：

default-src 'self' 'unsafe-inline';

又在htaccess設定

script-src 'self';

正常來說瀏覽器會採用htaccess的設定，即「script-src 'self';」而不是「script-src 'self' 'unsafe-inline'」，以安全性來說是符合的，但AppScan無法判斷，直接當你沒設定好CSP，解決方法只有不要重複設定，保留一項設定就好。