Worker脚本加载与CSP worker-src治理最佳实践

背景与价值Worker执行独立上下文，需限制脚本来源与入口以防跨站执行与数据外泄。统一规范同源策略：默认仅允许同源脚本。白名单：按受控CDN与版本化路径允许特定Worker脚本。入口校验：限制创建入口与参数范围。核心实现CSP头设置与安全创建type Res = { setHeader: (k: string, v: string) => void } function setWorkerCsp(res: Res, endpoints: string[]) { res.setHeader('Content-Security-Policy', `worker-src 'self' ${endpoints.join(' ')}`) } function createWorker(url: string): Worker | null { try { const u = new URL(url, document.location.origin) const allow = new Set([document.location.origin]) if (!allow.has(u.origin)) return null return new Worker(u.pathname) } catch { return null } } 落地建议设置worker-src为同源并对外部端点白名单；安全创建Worker并校验URL来源。验证清单是否下发worker-src白名单；Worker创建URL是否同源或受控域。