用 map 指令动态设置 CSP 的核心是将策略值设为变量，依据域名、路径或 IP 地理位置实时赋值；需在 http 块定义，用 default 设默认值，配合 add_header 注入响应头，并注意语法与覆盖问题。
用 map 指令动态设置 CSP，核心是把策略值变成变量，再根据请求特征（如域名、路径、IP 地理位置等）实时赋值，避免为每个区域写一堆重复的 location 块。这对多区域反代站点特别实用——比如主站面向国内用户，海外 CDN 节点需放宽脚本源，而测试环境要启用 report-only 模式。
用 map 匹配域名或子域区分策略
在 http 块中定义映射，按 server_name 或 $host 分配不同 CSP 字符串：
- 必须在
http级定义，不能放在server内； - 变量名以
$开头（如$csp_policy），值用英文双引号包裹； - 默认值用
default指定，防止未匹配时为空导致策略缺失。
示例配置：
http {
map $host $csp_policy {
default "default-src 'self'; script-src 'self' 'unsafe-inline';";
www.example.cn "default-src 'self'; script-src 'self' https://cdn.example.cn;";
www.example.com "default-src 'self'; script-src 'self' https://cdn.example.com 'unsafe-eval';";
test.example.com "Content-Security-Policy-Report-Only: default-src 'none'; report-uri /csp-report;";
}
<pre class="brush:php;toolbar:false;">server {
listen 443 ssl;
server_name www.example.cn www.example.com test.example.com;
add_header Content-Security-Policy $csp_policy always;
# 注意：此处不加引号，因为 $csp_policy 已是完整字符串
}
}
结合真实 IP 地理位置做区域化策略
若反代后能拿到客户端真实 IP（如通过 real_ip_header X-Forwarded-For），可用 geo 模块先标记区域，再用 map 转成对应 CSP：
-
geo判断 IP 所属国家/地区，生成布尔变量（如$is_cn）； -
map根据该变量拼接策略，例如对国内用户禁用外部 CDN，对海外允许特定第三方脚本； - 注意：CSP 中不能直接写变量表达式，所有逻辑必须提前在
map中完成。
片段示意：
geo $remote_addr $is_cn {
default 0;
114.114.114.0/24 1; # 示例网段，实际用 GeoIP 数据库
223.5.5.0/24 1;
}
<p>map $is_cn $csp_policy_by_region {
1 "default-src 'self'; script-src 'self' 'unsafe-inline';";
0 "default-src 'self'; script-src 'self' <a href="https://www.php.cn/link/e5204077564bd260afdcd598f8048f45">https://www.php.cn/link/e5204077564bd260afdcd598f8048f45</a> <a href="https://www.php.cn/link/2546165141cc6ca7f363a38c5f1c382b">https://www.php.cn/link/2546165141cc6ca7f363a38c5f1c382b</a>;";
}</p><p>server {
add_header Content-Security-Policy $csp_policy_by_region always;
}</p>针对 API 路径和静态资源做细粒度隔离
反代站点常同时提供页面与接口，二者安全要求不同。可在 map 中结合 $request_uri 或自定义变量判断路径类型：
- 匹配
/api/开头的请求，设为script-src 'none'； - 匹配
/uploads/或/static/，限制为default-src 'self'; img-src 'self' data:;； - 主页面路径（如
/,/index.html）保留宽松策略，但需带nonce协同。
注意：map 不支持正则捕获，复杂路径建议用 if + set 配合，或统一由后端注入 nonce 后交由 Nginx 注入 header。
验证与避坑要点
动态 CSP 容易因变量为空、大小写错误或中间件覆盖而失效：
- 用
curl -I https://site.com检查响应头是否含Content-Security-Policy且值非空； - 浏览器开发者工具的 Network → Headers 标签页，确认大小写是
Content-Security-Policy（不是content-security-policy）； - 若用了
always参数仍缺失，检查是否有其他模块（如 proxy_pass 后端、Lua 脚本）覆盖了 header； - 策略字符串内所有单引号、分号、空格必须严格符合语法，Nginx 不报错但浏览器会静默忽略整条策略。
