安全管理第三方脚本：清点、SRI、CSP 与表单提交目标的检查

第一步是建立清单。包括直接写在 HTML 里的脚本、在标签管理器中配置的标签，以及库或插件自行加载的内容。

逐项记录：从哪个源加载、属于谁的服务、为什么加入、在哪些页面运行、出问题时由谁用什么方式停用。iframe、图片等会连接外部服务器的资源也一并列出，这份清单之后可以直接用于 CSP 配置。

清单中“用途不明”“没有负责人”的项目就是删除候选。以前活动用的标签、已经换掉的统计服务常常还留着。

登录、支付、修改密码或邮箱、管理后台等输入价值高的页面，只保留必需的脚本。放进全站通用模板的标签也会出现在这些页面，所以请按页面类型决定是否加载。对于不需要接触页面内容的组件，OWASP 介绍了放入其他域名的 iframe（带 sandbox 属性）与页面隔离的方法。

OWASP 提醒，数据层（汇总传给标签的值的对象）不是隔离机制，标签管理器的容器可以执行自定义 JavaScript 和 HTML 标签。并建议限制发布权限，像对待应用代码一样审查变更。

具体可从四件事开始：只让少数人能发布，为管理界面的账号开启双重验证，不需要时禁用自定义 HTML 标签，发布前由另一个人确认。

SRI（子资源完整性）是在 <script> 等元素的 integrity 属性中写入文件哈希，浏览器收到的文件不一致时拒绝加载的机制。根据 MDN，可用的哈希是 sha256、sha384、sha512；跨源加载时提供方需要允许 CORS，并加上 crossorigin 属性。

SRI 只适用于带版本号的库这类内容不变的文件。用在提供方随时更新的统计标签上，每次更新都会导致无法加载。这种情况下，可以从自己的网站提供审核过的版本（OWASP 所说的 in-house mirroring），或在重要页面上不加载。库的已知漏洞可以把 lockfile 贴到依赖包漏洞扫描器中检查。

在 CSP（Content-Security-Policy）中，根据第 1 步的清单写入允许的源。script-src 限制脚本的加载来源，connect-src 限制 fetch、XMLHttpRequest、WebSocket、EventSource、sendBeacon 等的连接目标（MDN）。

限制表单提交目标的 form-action 不会回退到 default-src。MDN 说明不设置就允许任何目标。如果表单只提交到自己的网站，请明确写 form-action 'self'。

直接强制执行可能让正常功能停止，所以先用 Content-Security-Policy-Report-Only 只收集违规报告。MDN 指出，要接收报告需要指定 report-to，并且这个响应头不能在 <meta> 元素中使用（已弃用的 report-uri 也仍可发送报告）。可以用 CSP 构建器试着组合。响应头整体的思路见安全响应头的选择方法。

第三方脚本即使你什么都不做也会变化。按固定间隔（例如每月一次）把清单与实际状态对比；CSP 违规报告中出现陌生的目标时进行调查；订阅提供方的安全通知。

把出问题时由谁、在哪个界面停用哪个标签写成文档。有银行卡支付页面的经营者，还请确认 PCI DSS v4.0.1 中关于支付页面安全的要求 6.4.3 和 11.6.1 已于 2025 年 3 月 31 日起生效（PCI SSC）。对于把账户数据处理全部外包给合规第三方、使用 SAQ A 的商户，这两项要求被替换为一项资格条件：确认自己的网站不易受到可能影响电子商务系统的脚本攻击（标准本身的要求不变）。