apache - 使用 Apache 2.4 生成随机数(用于内容安全策略 header )

Question

我们正在努力创建严格的内容安全策略 ( https://csp.withgoogle.com/docs/strict-csp.html )，这需要 Apache 在每次请求资源时创建一个随机数，以便我们可以将此随机数插入到 http header 中。

我们如何使用 Apache 2.4 创建随机数？

我读过的所有 CSP 相关文档都提到了“随机数只是在服务器上生成的随机字符串，包含在 CSP header 中......”，但没有找到任何相关信息如何使用 Apache 来做到这一点。我们当然可以使用应用程序代码来执行此操作，但通过 Apache 执行此操作似乎是一个更干净的解决方案/将确保每个页面都获取 CSP header 。

Answer 1

您需要在服务器上生成 nonce，然后让 Apache 将该 nonce 传递到您可以使用它的脚本。

我们为 Apache 创建了一个开源模块来简化此过程: mod_cspnonce 。

这是服务器端配置的一个简单示例:

LoadModule headers_module modules/mod_headers.so
LoadModule cspnonce_module modules/mod_cspnonce.so

# add the CSP_NONCE to the "default-src"
Header add Content-Security-Policy "default-src 'self' 'nonce-%{CSP_NONCE}e';"

这是在脚本中使用随机数的简单示例:

<script nonce="<?= $_SERVER['CSP_NONCE'] ?>">
  var inline = 1;
</script>

该示例是 php，但您可以使用任何语言。