Политика безопасности содержимого для навигационных ссылок

Отвечая на ваши вопросы по порядку:

1. По-прежнему можно найти XXS на странице, которая не взаимодействует с серверной частью. Например, если злоумышленник может выполнить произвольный JavaScript на вашей странице входа, он теоретически может использовать это для кражи паролей ваших пользователей. CSP может смягчить эти атаки и поэтому должен использоваться здесь.

2. Вы имеете в виду метатег CSP или заголовок? Если это так, я бы предпочел, чтобы они были в заголовке. Если злоумышленник каким-то образом сможет загрузить HTML-документ и он будет обслужен, теоретически он сможет обойти CSP.

3. Это зависит от вашего веб-сервера. Если вы используете Spring Boot для обслуживания файлов внешнего интерфейса, вы можете включить его с помощью Spring Security, как описано в docs:

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            // ...
            .headers(headers -> headers
                .contentSecurityPolicy(csp -> csp
                    .policyDirectives("script-src 'self' https://trustedscripts.example.com; object-src https://trustedplugins.example.com; report-uri /csp-report-endpoint/")
                )
            );
        return http.build();
    }
}

Другие веб-серверы имеют другую конфигурацию для этого, популярные из них — apache или nginx. По моему опыту, обычно есть веб-сервер, отличный от весенней загрузки, который обслуживает файлы внешнего интерфейса. Если вы обслуживаете только JSON REST-API поверх весенней загрузки, на самом деле нет необходимости устанавливать CSP при весенней загрузке.