CSP 在百度 SEO 中的基础认知

内容安全策略（CSP）是一道重要的浏览器安全屏障，用于限制页面可以加载和执行哪些资源。对于百度搜索引擎优化而言，正确配置 CSP 既能防止跨站脚本攻击（XSS），又能确保搜索引擎蜘蛛顺利抓取页面内容。如果配置不当，可能阻止百度爬虫加载样式、脚本甚至页面正文，导致排名下降。

核心指令的正确写法

一个典型的百度 SEO 友好的 CSP 配置包含以下常见指令。开发者通常通过 HTTP 响应头 Content-Security-Policy 或 HTML 中的 <meta http-equiv="Content-Security-Policy"> 标签进行设置。

针对百度爬虫的特殊处理

百度搜索引擎蜘蛛（如 Baiduspider）在抓取页面时，会执行有限的 JavaScript，但爬虫通常不执行 eval 或动态脚本。因此，为了让爬虫正确渲染页面，建议：

• 在 script-src 中保留 'unsafe-inline'，否则爬虫可能无法读取内联 JS 中的内容（例如结构化数据标记）。
• 避免设置过于严格的 style-src，因为百度爬虫需要解析内联样式来确定页面布局和文字可读性。
• 使用 report-uri 或 report-to 指令收集 CSP 违规报告，以便观察是否有百度 IP 被错误拦截。

完整配置示例

以下是一个面向百度 SEO 且兼顾安全性的 CSP 配置示例，可作为参考起点并根据实际项目调整：

Content-Security-Policy: 
  default-src 'self';
  script-src 'self' 'unsafe-inline' 'unsafe-eval' https://*.baidu.com https://hm.baidu.com;
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https://*.baidu.com;
  connect-src 'self' https://*.baidu.com;
  report-uri /csp-violation-report-endpoint;

常见排查方向

配置完成后，建议进行以下检查以确保搜索引擎友好：

• 使用百度站长工具的“抓取诊断”：观察爬虫是否能正常获取 HTML 源码，以及是否因为 CSP 拒绝而遗漏了关键资源。
• 审查控制台 CSP 报告：多数现代浏览器会记录被 CSP 阻止的资源。若发现百度相关的域名或 IP 被阻止，应及时将该来源添加到白名单。
• 避免过度使用 nonce 或 hash：对于 SEO 优先的场景，若内联脚本数量不多，使用 'unsafe-inline' 是更简单的选择。非必须不必引入 nonce，以免增加爬虫解析复杂度。

注意事项

配置 CSP 时需注意：不要同时通过 HTTP 响应头和 meta 标签重复配置，以免产生冲突。如果必须使用 meta 标签，则只能做策略收紧，不能做策略放宽。另外，百度统计等第三方服务的 JavaScript 脚本通常放置在 hm.baidu.com 下，务必在 script-src 中授权该域名。合理配置 CSP 可以在不牺牲安全的前提下，保障搜索引擎正常收录与索引，帮助网站获得更好的排名表现。