4armed/csp-backend

https://quay.io/repository/4armed/csp-backend/status "Docker Repository on Quay"](https://quay.io/repository/4armed/csp-backend) https://snyk.io/test/github/4ARMED/csp-backend/badge.svg?targetFile=src%2FGemfile.lock](https://snyk.io/test/github/4ARMED/csp-backend?targetFile=src%2FGemfile.lock)

4ARMED的CSP生成器

镜像概述

这是4ARMED的Content Security Policy（内容安全策略）生成器的后端API。它提供CSP报告uri处理功能，并能基于收集的违规报告生成CSP。其唯一接口为JSON API，推荐通过Docker运行（配合官方docker-compose.yml），最便捷的交互方式是使用配套的Google Chrome扩展。

核心功能

1. 处理CSP报告uri，接收并存储网站的CSP违规报告
2. 基于收集的违规数据自动生成合规的CSP规则
3. 提供JSON API接口，支持非标准端口访问
4. 兼容Chrome扩展，实现浏览器端CSP头插入与策略生成

使用场景

1. 生成和测试非HTTPS网站的CSP规则
2. 通过Chrome扩展在浏览器中快速调试CSP策略
3. 利用测试页面验证CSP规则的有效性
4. 为网站构建安全合规的内容安全策略

配置说明

前提条件（非Docker安装）

1. Ruby：需2.0+版本，推荐用RVM或rbenv管理
2. Bundler：安装命令：gem install bundler
3. MongoDB：数据存储，macOS安装：brew install mongo，启动：mongod --config /usr/local/etc/mongod.conf &

安装步骤

1. 克隆仓库：

   shell
   git clone https://github.com/4armed/csp-backend.git
   

2. 安装依赖：

   shell
   cd csp-backend && bundle install
   

3. 启动应用：

   shell
   ruby app.rb
   

Docker部署示例

推荐使用docker-compose（需先获取https://github.com/4armed/csp-generator%EF%BC%89%EF%BC%9A

shell
docker-compose up -d

或直接运行容器（需先启动MongoDB容器）：

shell
docker run -p 4567:4567 --link mongodb:mongodb docker.xuanyuan.run/4armed/csp-backend

使用方法

1. 设置网站的report-uri为http://localhost:4567/report（非HTTPS网站）
2. 浏览目标网站收集违规报告
3. 生成CSP：访问http://localhost:4567/policy/[网站域名]（非标准端口需URL编码，如:81→%3A81）
4. 配合Chrome扩展可直接在浏览器中插入CSP头并交互

测试页面

内置测试页面包含脚本、图片和样式，可用于调试CSP规则，推荐配合Chrome扩展使用。

变更说明

欢迎fork仓库并提交改进，建议从专用分支发送Pull Request。