Как использовать политику безопасности содержимого Django

Добавьте промежуточное ПО CSP в параметр MIDDLEWARE:

MIDDLEWARE = [
    # ...
    "django.middleware.csp.ContentSecurityPolicyMiddleware",
    # ...
]

Настройте политики CSP в settings.py, используя SECURE_CSP или SECURE_CSP_REPORT_ONLY (или оба параметра). В документации по настройкам CSP подробнее описаны различия между ними:

from django.utils.csp import CSP

# To enforce a CSP policy:
SECURE_CSP = {
    "default-src": [CSP.SELF],
    # Add more directives to be enforced.
}

# Or for report-only mode:
SECURE_CSP_REPORT_ONLY = {
    "default-src": [CSP.SELF],
    # Add more directives as needed.
    "report-uri": "/path/to/reports-endpoint/",
}

Добавить значение-заполнитель NONCE в настройки CSP. Это применимо только к директивам script-src или style-src:

from django.utils.csp import CSP

SECURE_CSP = {
    "default-src": [CSP.SELF],
    # Allow self-hosted scripts and script tags with matching `nonce` attr.
    "script-src": [CSP.SELF, CSP.NONCE],
    # Example of the less secure 'unsafe-inline' option.
    "style-src": [CSP.SELF, CSP.UNSAFE_INLINE],
}

Добавить контекстный процессор csp() в параметр TEMPLATES. Это сделает сгенерированное значение nonce доступным в шаблонах Django как контекстную переменную csp_nonce:

TEMPLATES = [
    {
        "BACKEND": "django.template.backends.django.DjangoTemplates",
        "OPTIONS": {
            "context_processors": [
                # ...
                "django.template.context_processors.csp",
            ],
        },
    },
]

В шаблонах добавьте атрибут nonce к соответствующим встроенным тегам <style> или <script>, используя контекстную переменную csp_nonce:

<style nonce="{{ csp_nonce }}">
  /* These inline styles will be allowed. */
</style>

<script nonce="{{ csp_nonce }}">
  // This inline JavaScript will be allowed.
</script>