内容安全策略：meta http-equiv

内容安全策略（CSP）是由浏览器强制执行的策略，用于限制页面可以加载和执行哪些资源。它是防御跨站脚本攻击的最强手段：即使攻击者注入了一个 <script> 标签，浏览器也会拒绝运行它，除非策略允许。

CSP 可以作为 HTTP 响应标头发送（Content-Security-Policy: ...），也可以作为 HTML 中的元标签发送：<meta http-equiv="Content-Security-Policy" content="...">。标头是首选方式；当您无法控制服务器时，元标签很有用。

default-src 是未指定资源类型时使用的后备指令。script-src、style-src、img-src、connect-src（XHR/请求）、font-src、frame-src 分别限制对应类型的资源。请将特定来源加入允许列表，或者使用 'self' 以仅允许同源资源。

'self'（带引号）指页面自身的来源。script-src 'self' 表示“只运行与页面来自同一来源的脚本”。这是大多数策略的基础；如有需要，再添加特定的外部 CDN。

默认情况下，CSP 会阻止所有内联 <script> 标签和事件处理程序属性（onclick）。这是最强的 XSS 防护：注入的 <script> 无法运行，因为它是内联内容。请将所有脚本移到由 src 引用的外部文件中。

对于必要的内联脚本，请使用 nonce：服务器为每个请求生成一个随机令牌，将其设置为 CSP 中的 script-src 'nonce-RANDOM'，并将 nonce="RANDOM" 添加到合法的 <script> 标签中。注入的脚本没有该 nonce，因此会被阻止。

'unsafe-inline' 会重新允许内联脚本和样式。'unsafe-eval' 会重新允许 eval() 和 new Function()。这两者都会严重削弱 CSP——只应在迁移期间作为最后手段使用，并计划移除它们。

通过元标签交付的 CSP 不能使用 report-uri 指令（或其他报告功能）。它的生效时间也晚于标头——位于元标签之前的任何内容都不受保护。标头明显更好；请仅将元标签作为后备方案。

在不破坏网站的情况下测试新策略：Content-Security-Policy-Report-Only: ...。浏览器会报告违规行为，但不会阻止它们，因此您可以逐步调整策略，直到它允许所有合法资源，再切换到强制执行模式。

忘记 style-src 'unsafe-inline' 会阻止内联样式（框架经常生成这类样式）。忘记 connect-src 会阻止通过 AJAX 访问 API。请务必先在仅报告模式下测试策略，并检查控制台中被阻止的资源。

严格的 CSP 会将 script-src 'nonce-RANDOM' 'strict-dynamic' 用于脚本，并为其他所有内容设置严格的允许列表。'strict-dynamic' 允许带 nonce 的脚本继续加载其他脚本，无需逐一列出每个来源，比按来源设置允许列表更易于维护。

CSP 是由浏览器强制执行的策略，用于限制可以加载的脚本、样式、图像和其他资源。请通过响应标头（首选）或元标签交付 CSP。对必要的内联脚本使用 nonce，避免使用 unsafe-inline/unsafe-eval，并先在仅报告模式下测试。使用 'nonce-X' 'strict-dynamic' 的严格 CSP 是现代的基础方案。