技能介绍

为什么部署了 CSP 仍可能被绕过

CSP 确实压缩了 XSS 的攻击面，但远不等于无懈可击。实践中常见的缺口包括：script-src 里残留 unsafe-inline；缺少 base-uri 导致 <base> 标签劫持资源加载路径；缺少 object-src 让插件时代的老接口继续成为入口；nonce 或 hash 被复用、爆破或泄露；以及把第三方 CDN 写进 script-src 后，该 CDN 上的任意脚本都变成合法载荷。通用大模型处理这类问题时的典型失误是：不核对策略原文就推荐 unsafe-inline 绕过，或者漏掉 base-uri、object-src 这类关键缺口。

技能如何工作

技能按指令逐项拆解绕过技术，而不是给出一刀切的通用方案：

按指令绕过：针对 script-src、style-src、connect-src 等分别匹配手法
nonce/hash 滥用：覆盖复用、猜测以及经响应拆分窃取 nonce 的路径
可信 CDN 利用：CDN 在白名单内时，如何投递恶意载荷
CSP 存在下的外泄：脚本被拦时，改用标记悬挂注入或表单提交外传数据
框架特定绕过：分析具体框架与 CSP 交互时的盲区

适用边界与注意点

技能聚焦绕过与验证思路，实际投递通常需配合 xss-cross-site-scripting 或 dangling-markup-injection 等相邻技能
若存在 crlf-injection，能注入 CSP 响应头本身或窃取 nonce，属于更高优先级路径，应优先评估
CSP 与 WAF 同时存在时，需结合 waf-bypass-techniques 一起判断
策略缺少 frame-ancestors 时，点击劫持是独立风险，与脚本绕过无关，不要混为一谈