CSP 是一种 HTTP 安全策略，用来限制网页可以加载哪些脚本、样式、图片、字体、连接和嵌入内容。

核心作用

CSP 主要用来降低 XSS 攻击风险。即使页面中出现了可注入内容，攻击脚本也可能因为不在允许来源中而无法执行。

示例

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; img-src 'self' data:

常见指令

  • default-src：默认资源来源。
  • script-src：脚本来源。
  • style-src：样式来源。
  • img-src：图片来源。
  • connect-src：fetch、WebSocket 等连接来源。
  • frame-ancestors：限制页面能否被 iframe 嵌入。

学习重点

CSP 不是用来替代输入校验和转义的，而是安全防线的一层。实际项目中通常需要从宽松策略开始，观察报错，再逐步收紧。

本文归档于个人知识库 · 领域：CS & AI · 模块：04 Project_CS_AI/Web