ThinkPHP如何配置CSP策略_CSP策略配置方法【实战】

ThinkPHP中配置CSP策略的核心步骤

如果你的ThinkPHP项目启用了内容安全策略（CSP），却发现页面脚本或样式被意外拦截——这通常不是CSP本身的问题，而是策略注入的时机、指令覆盖或内联资源的nonce机制没跟上。下面直接给出可落地的五步解法。

一、通过中间件全局注入CSP响应头

在ThinkPHP 6+里，中间件是控制HTTP响应头的标准出口。它能保证所有类型的响应（HTML、JSON、AJAX）都带上CSP策略，也避免了因为控制器提前输出而导致header失效的尴尬。

• 在app/middleware目录下创建CspMiddleware.php。
• 在handle方法里用response()->header()添加Content-Security-Policy头。
• 同时生成一次性随机nonce值，存入请求上下文，供模板里的内联脚本引用。
• 把这个中间件注册到app/middleware.php的全局中间件数组里。

二、在视图模板中动态注入nonce值

ThinkPHP的模板引擎支持变量传递，把中间件生成的nonce值注入到。