tomcat配置Content-Security-Policy

Content-Security-Policy（CSP）是一种安全策略，用于限制网页中可以加载的资源和执行的操作，以减少跨站点脚本攻击（XSS）、点击劫持等安全风险。在Tomcat中配置CSP可以通过以下步骤进行：

1. 打开Tomcat的配置文件`web.xml`，通常位于`<Tomcat安装目录>/conf/web.xml`。
2. 在`<web-app>`标签内添加以下内容：

<filter>
    <filter-name>ContentSecurityPolicy</filter-name>
    <filter-class>org.apache.catalina.filters.ContentSecurityPolicyFilter</filter-class>
    <init-param>
        <param-name>policy</param-name>
        <param-value>default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline';</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>ContentSecurityPolicy</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

上述配置中，`default-src`指定了默认加载的资源只能来自同源（即当前网页的域名和协议必须与资源的域名和协议一致），`script-src`指定了允许加载的JavaScript脚本，`style-src`指定了允许加载的样式表。

3. 保存并关闭`web.xml`文件。
4. 重新启动Tomcat服务器。

配置完成后，Tomcat会在每个HTTP响应中添加一个名为`Content-Security-Policy`的HTTP头，其中包含了配置的CSP策略。这样，浏览器在加载网页时会根据该策略来限制资源的加载和执行。