【什么是CSP】CSP（Content Security Policy，内容安全策略）是一种网络安全机制，用于防止跨站脚本攻击（XSS）和其他恶意脚本的注入。它通过定义网页中允许加载和执行的内容来源，来增强网站的安全性。CSP 由 W3C 提出并标准化，已成为现代 Web 开发中的重要组成部分。
CSP 是一种基于 HTTP 响应头或 HTML `` 标签设置的安全策略，用于限制网页中可以加载和执行的资源类型和来源。其核心目标是减少 XSS 攻击的风险，提高网站的整体安全性。开发者可以通过配置 CSP 规则，控制哪些外部脚本、样式表、图像等资源可以被加载，从而有效阻止恶意代码的运行。
CSP 简要说明表
| 项目 | 内容 |
| 全称 | Content Security Policy |
| 作用 | 防止跨站脚本攻击（XSS）等安全威胁 |
| 实现方式 | HTTP 响应头 `Content-Security-Policy` 或 HTML `` 标签 |
| 主要功能 | 控制资源加载来源，限制未知脚本执行 |
| 常见指令 | `script-src`, `style-src`, `img-src`, `connect-src` 等 |
| 是否强制生效 | 可配置为 `enforce` 或 `report-only` 模式 |
| 适用场景 | 现代 Web 应用、API 调用、第三方资源加载 |
| 优点 | 提高安全性，减少 XSS 攻击可能性 |
| 缺点 | 配置复杂，可能影响某些合法资源加载 |
通过合理配置 CSP，开发者可以在不显著影响用户体验的前提下，大幅提升网站的安全防护能力。随着 Web 安全标准的不断演进，CSP 已成为构建安全 Web 应用的重要工具之一。
