首先，理解上下文：这是继之前 Tauri 相关章节（如核心优势、设计思想等）之后的细节小节。可能是 1.3 或某个安全部分的子节。需要写出如何处理内容安全策略（CSP）和权限白名单的实际配置。
要写得简单明了：解释什么是 CSP，为什么在 Tauri 中重要，如何开启严格 CSP。然后解释最小权限白名单（在 Tauri 的配置文件中允许的 API 权限），展示具体配置示例。实用真实：提供代码片段（tauri.conf.json 的配置片段），建议如何最小化权限，比如只开启需要的 fs 范围。
结构可以这样：
- 引入：Tauri 的安全性很大程度上依赖前端沙箱和安全头，CSP 和权限白名单是关键。
- 开启严格 CSP：解释 CSP 限制资源加载源，防止 XSS 后加载恶意脚本。在 Tauri 中可以通过 HTML meta 标签或 HTTP 响应头设置。由于是本地应用，可以通过配置文件注入 CSP。展示 tauri.conf.json 中 security -> csp 的设置，例如只允许 'self' 和必要的样式脚本，禁止 eval。提醒注意开发时可能使用内联样式或 eval，需要调整。
- 配置最小权限白名单：Tauri 的 API 权限默认关闭，需要在 tauri.conf.json 的 allowlist 中显式启用。介绍 allowlist 的结构，比如 fs、path、window、shell 等。强调只启用应用需要的功能。比如只允许 fs 访问特定目录，使用 scope 定义允许的路径和权限（读/写/创建）。展示示例。
- 结合：两者结合构建纵深防御，即使前端被 XSS，也会被 CSP 和 API 受限。
- 结尾建议：生产环境务必收紧。
确保语言平实，代码块用 toml 或 json 格式。
注意：Tauri v2 的配置格式可能有所不同，但问题没有指定版本。Tauri v1 的 allowlist 是直接配置，v2 中改为 permissions 系统。为了通用，可以基于 Tauri v2 但也可提一下。根据用户之前的内容，可能是在写一个基于 Tauri 的系列，最好保持一致性。前面章节提到 Tauri 的设计思想，可能会用 v2 举例。为了安全真实，我们按 Tauri v2 的权限系统来写，因为 v2 已经是主流。但我可以提到基于 Tauri v2 的配置。如果用户没有说明，我会给出 Tauri v2 的配置方式，并简单解释。如果用户写的是 v1，可能会有点不同。但实用起见，我会注明 Tauri v2，并展示代码。我会说：“在 Tauri v2 中，权限通过 capabilities 和 permissions 进行管理，但也可以在配置文件中设置 CSP。” 并给出示例。
实际编写内容：
标题：开启严格 CSP、配置最小权限白名单
正文：
Tauri 的安全性建立在“默认拒绝”之上，但我们需要主动收紧两处关键配置：内容安全策略（CSP）和 API 权限白名单。即使前端被注入恶意脚本，严格的 CSP 能阻止其加载外部资源，而 API 权限白名单则让攻击者无法触及文件系统等敏感能力。
1. 开启严格 CSP
CSP 通过声明允许的脚本、样式、图像来源，防止跨站脚本（XSS）攻击被利用。在 Tauri 中，CSP 可以在 tauri.conf.json 的 app > security > csp 字段中配置，它会作为响应头注入到 WebView 的每个页面。
{
"app": {
"security": {
"csp": "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: asset: https:"
}
}
}解释：default-src 'self' 只允许同源资源；script-src 'self' 禁止内联脚本和外链，这是最关键的一条；style-src 'unsafe-inline' 通常需要允许内联样式（很多前端框架会生成），但你应尽量避免使用 unsafe-eval；img-src 如果需要从网络加载图片，可以加上 https:，否则只用 asset: 协议加载本地资源。
真实建议：开发时为了调试方便可能放宽 CSP，但上线前务必移除所有 unsafe-inline 和 unsafe-eval，改为使用哈希或随机数。如果前端构建工具支持，可以生成严格 CSP 实现。
2. 配置最小权限白名单
Tauri 将系统 API 调用权限化，默认全部禁用。在 Tauri v2 中，权限通过 capabilities 文件定义（通常在 src-tauri/capabilities 目录下），并在 tauri.conf.json 中引用。
步骤：
- 创建或修改一个权限文件，比如
src-tauri/capabilities/default.json。 - 列出应用需要的所有权限，精确到作用域。
例如，一个简单的 Markdown 编辑器需要读写用户选定的文件，使用系统对话框和剪贴板：
{
"$schema": "../gen/schemas/desktop-schema.json",
"identifier": "default",
"description": "应用默认权限",
"windows": ["main"],
"permissions": [
"core:default",
"dialog:default",
{
"identifier": "fs:allow-read-text-file",
"allow": [{ "path": "$APPDATA/**" }, { "path": "$HOME/Documents/**" }]
},
{
"identifier": "fs:allow-write-text-file",
"allow": [{ "path": "$APPDATA/**" }, { "path": "$HOME/Documents/**" }]
},
"clipboard-manager:allow-read-text",
"clipboard-manager:allow-write-text"
]
}解释：
core:default提供基本的窗口事件和菜单权限。dialog:default允许使用原生文件对话框，这通常是安全的。fs:allow-read-text-file和fs:allow-write-text-file是细粒度权限，并且通过allow字段限定了只能访问$APPDATA和用户的 Documents 目录，不能访问整个文件系统。- 剪贴板权限也分别开启读写，没有使用通配符。
不要这样做：为了方便而直接启用 "fs:allow-all" 或使用无限制的 scope。攻击者一旦获得 XSS，就能窃取任意文件。
实践原则
- 最小化：只添加应用当前功能真正需要的权限。每增加一个权限，就问自己“如果前端被攻破，这个权限会泄露什么？”
- 限定作用域：凡是支持 scope 的 API，务必定义允许的路径、域名、命令等。
- 定期审计：随着功能迭代，删掉过时的权限。
结合严格 CSP，前端即便被注入恶意代码，也无法轻易加载外部通信脚本、绕过 IPC 限制来滥用权限，形成纵深防御。在 Tauri 的安全基准测试中，这种配置可以帮你轻松拿到高分。