如何利用 map 指令动态设置 add_header 以实现生产环境下多区域的 CSP 安全策略-Nginx-PHP中文网

Nginx 通过 map 指令在 http 块中预定义变量实现动态 CSP 策略，再用 add_header $var always 引用；支持基于域名、请求头、参数或 GeoIP 地理信息映射不同策略，需注意语法规范与配置位置。

如何利用 map 指令动态设置 add_header 以实现生产环境下多区域的 csp 安全策略

Nginx 本身不支持在 add_header 指令中直接使用变量（如 $arg_region 或 $http_x_forwarded_for）来动态拼接 CSP 值，因为 add_header 是静态指令，解析发生在配置加载阶段，而非请求处理阶段。但你可以借助 map 指令预先将条件映射为字符串变量，再在 add_header 中引用该变量——这是生产环境实现多区域 CSP 策略最稳定、最推荐的方式。

用 map 定义区域策略变量

map 必须定义在 http 块顶层（不能在 server 或 location 内），它根据请求特征（如域名、请求头、参数或 IP 地理信息）映射出预设的 CSP 字符串值。例如：

（放在 nginx.conf 的 http { ... } 块中）

map $host $csp_policy {
    default "default-src 'self'; script-src 'self' https://cdn.example.com; img-src 'self' data:;";
    "cn.example.com" "default-src 'self'; script-src 'self' https://cdn.example.com 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src *;";
    "us.example.com" "default-src 'self'; script-src 'self' https://www.php.cn/link/2800a901597876b19a05fa2ba197a966 https://analytics.google.com; connect-src 'self' https://www.php.cn/link/f0b314f185b80cf35d986e298db53fe3;";
    "~^([a-z]{2})\.example\.com$" "$1-csp";
}
<h1>可选：二级映射，让正则匹配更灵活</h1><p>map $1 $region_csp {
"cn" "default-src 'self'; script-src 'self' <a href="https://www.php.cn/link/e73dbb390cb1dd2a3e9d71c3ac806044">https://www.php.cn/link/e73dbb390cb1dd2a3e9d71c3ac806044</a>; font-src 'self' <a href="https://www.php.cn/link/9ec3cff2fc5008ded145994ef2b906d7">https://www.php.cn/link/9ec3cff2fc5008ded145994ef2b906d7</a>;";
"us" "default-src 'self'; script-src 'self' <a href="https://www.php.cn/link/2800a901597876b19a05fa2ba197a966">https://www.php.cn/link/2800a901597876b19a05fa2ba197a966</a>; connect-src 'self' <a href="https://www.php.cn/link/f0b314f185b80cf35d986e298db53fe3">https://www.php.cn/link/f0b314f185b80cf35d986e298db53fe3</a>;";
"eu" "default-src 'self'; script-src 'self' <a href="https://www.php.cn/link/5b9320355914e4428c01f4427cce9bd1">https://www.php.cn/link/5b9320355914e4428c01f4427cce9bd1</a>; frame-src 'self' <a href="https://www.php.cn/link/2ad85be364c615d10de8a25d2af95c34">https://www.php.cn/link/2ad85be364c615d10de8a25d2af95c34</a>;";
default "default-src 'self';";
}</p>

注意：map 不支持嵌套或复杂逻辑，所有策略必须是完整、合法的 CSP 字符串，且需严格遵循语法规范（英文引号、分号+空格分隔、'self' 不可漏引号等）。

在 server 块中引用并输出 CSP 头

在对应站点的 server 块中，使用 add_header ... always; 引用 map 生成的变量。确保加 always，否则 4xx/5xx 响应不会携带该头：

server {
    listen 443 ssl;
    server_name example.com *.example.com;
<pre class="brush:php;toolbar:false;"># 其他配置...

add_header Content-Security-Policy $csp_policy always;
# 或使用二级映射
# add_header Content-Security-Policy $region_csp always;

}

若需基于请求头（如 X-Region）或 URL 参数（如 ?region=cn）区分策略，可将 map 的 key 改为 $http_x_region 或 $arg_region，但要注意客户端可控参数存在被篡改风险，仅建议用于灰度或内部测试，生产环境优先用域名或可信反向代理头（如 X-Forwarded-For 配合 GeoIP 模块）。

配合 GeoIP 或自定义头实现地理感知策略

如果需按真实用户地理位置下发不同 CSP（如欧盟用户强制启用 report-to，中国用户允许特定 CDN），可结合 ngx_http_geoip2_module：

先用 geoip2 模块提取 $geoip2_data_country_code
再用 map $geoip2_data_country_code $geo_csp 映射策略
最后在 add_header 中引用 $geo_csp

示例片段：

map $geoip2_data_country_code $geo_csp {
    "CN" "default-src 'self'; script-src 'self' https://cdn.cn; report-uri /csp-report-cn;";
    "US" "default-src 'self'; script-src 'self' https://cdn.us; report-to csp-us-endpoint;";
    "DE" "default-src 'self'; script-src 'self'; report-to csp-eu-endpoint; require-sri-for script style;";
    default "default-src 'self';";
}

注意：GeoIP 数据库需定期更新，且首次请求时可能因延迟影响首屏性能，建议搭配缓存或异步加载策略。

验证与调试关键点

上线前务必验证三件事：

执行 nginx -t 确保 map 语法无误，变量名不冲突
用 curl -I https://cn.example.com 和 curl -I https://us.example.com 分别检查响应头中 Content-Security-Policy 是否正确输出
打开 Chrome DevTools → Network → 刷新页面 → 查看文档请求的 Response Headers，确认策略未被截断、无中文符号、无多余空格

若策略未生效，常见原因是：map 定义位置错误（不在 http 块）、变量名拼写不一致、缺少 always、或 Nginx 版本低于 1.7.0（不支持 map 在 header 中引用）。