Content Security Policy

用途

通过白名单限制资源加载源，从源头阻止恶意脚本注入执行。

机制

Content-Security-Policy 头含指令：default-src（默认）、script-src（脚本）、style-src（样式）、img-src（图片）、connect-src（fetch/XHR）等。值可为 'self'、域名、nonce、hash。report-uri 指定违规上报。严格 CSP 用 nonce + strict-dynamic。

用例

• XSS 防御
• 第三方脚本限制
• 内联脚本控制
• 违规监控

示例

• 输入

  script-src 'self' 'nonce-abc123'

  输出

  Only same-origin + nonce scripts can execute

  Whitelist

常见错误

CSP includes unsafe-inline, weakening protection

Replace unsafe-inline with a nonce or hash