如何利用 map 指令动态设置 add_header 实现多区域负载均衡站点的 CSP 策略-Nginx-PHP中文网

nginx 的 map 指令通过 $host 动态映射 csp 策略，实现多区域（cn/us/eu）差异化安全策略；配合 always 参数、geo 模块兜底、/api/ 路径强化限制及 $request_id 支持 nonce，构建完整动态 csp 方案。

如何利用 map 指令动态设置 add_header 实现多区域负载均衡站点的 csp 策略

Nginx 的 map 指令是实现多区域负载均衡站点 CSP 策略动态化的关键——它让安全策略能随请求来源（如子域名、地域标识、请求头）实时变化，而不是靠一堆重复的 location 块硬编码。

核心思路很直接：把 CSP 各字段（如 default-src、script-src）变成变量，用 map 根据 $host 或其他变量映射出对应值，再通过 add_header 注入。这样既保持配置简洁，又天然适配负载均衡后多个区域入口（如 cn.example.com、us.example.com、eu.example.com）各自不同的资源信任列表。

用 `$host` 区分子域名并映射 CSP 策略

这是最常用也最稳妥的方式。不同区域站点通常使用独立子域名，$host 可靠、稳定、无需额外模块支持。

map 在 http 块顶部定义，匹配子域名正则（注意转义点号）
每个区域对应一套 default-src 和 script-src 规则，例如：
- CN 站点：放行国内 CDN（https://cdn-cn.example.com）、统计 JS（https://s95.cnzz.com），允许 'unsafe-inline'
- US 站点：放行 Google Fonts、GA4、Tag Manager
- EU 站点：更严格，禁用内联脚本，只允同源和指定欧盟合规服务（如 https://fonts.googleapis.com、https://consent.example.eu）

示例配置：

http {
    map $host $csp_default_src {
        ~\.cn\.example\.com  "'self' https://cdn-cn.example.com https://s95.cnzz.com";
        ~\.us\.example\.com  "'self' https://fonts.googleapis.com https://www.googletagmanager.com";
        ~\.eu\.example\.com  "'self' https://fonts.googleapis.com https://consent.example.eu";
        default              "'self'";
    }

    map $host $csp_script_src {
        ~\.cn\.example\.com  "'self' 'unsafe-inline' https://s95.cnzz.com";
        ~\.us\.example\.com  "'self' 'unsafe-inline' https://www.googletagmanager.com";
        ~\.eu\.example\.com  "'self' https://consent.example.eu";
        default              "'self'";
    }

    server {
        listen 443 ssl;
        server_name ~^(?<region>[a-z]{2})\.example\.com$;

        add_header Content-Security-Policy "default-src $csp_default_src; script-src $csp_script_src; object-src 'none'; base-uri 'self';" always;
    }
}</region>

⚠️ 注意：必须加 always 参数，否则 301/404/静态资源响应不会携带 CSP 头，导致策略失效或前端报错不可见。

结合 `geo` 模块做 IP 地域兜底（可选增强）

当子域名未覆盖全部流量（比如用户直连 IP 或泛解析），可用 geo 指令按客户端 IP 划分大区，生成 $geo_region 变量，再用 map 二次映射为 CSP 值。

先在 http 块中定义 geo：

geo $remote_addr $geo_region {
    default     "";
    include     /etc/nginx/geoip.conf; # 需提前生成，含 CN/US/EU 网段
}

再 map $geo_region 补充策略，与 $host 映射逻辑解耦，便于灰度或降级。

API 接口路径单独强化限制

即使主站策略宽松，/api/ 路径应默认禁止脚本执行，防止接口被 XSS 利用：

location ^~ /api/ {
    add_header Content-Security-Policy "default-src 'none'; script-src 'none'; connect-src 'self';" always;
}

该配置优先级高于 server 块中的全局 CSP，且 always 保证错误响应也生效。

动态 nonce 支持内联脚本（高性能场景必需）

若前端大量使用 <script nonce="..."></script>，需每次请求生成唯一 nonce。Nginx 自带 $request_id 是理想选择：

map $host $csp_nonce {
    ~\.cn\.example\.com  "nonce-$request_id";
    ~\.us\.example\.com  "nonce-$request_id";
    ~\.eu\.example\.com  "nonce-$request_id";
    default              "nonce-$request_id";
}

# 然后在 CSP 中引用
add_header Content-Security-Policy "default-src $csp_default_src; script-src $csp_script_src $csp_nonce;" always;