CSP（Content Security Policy，内容安全策略）是一种 Web 应用程序安全机制，旨在减轻跨站点脚本攻击（XSS）、数据窃取等安全威胁。CSP 通过定义白名单来指定允许从哪些源加载可执行的脚本、样式表、字体、图像、音频和视频等资源。

CSP 通过 HTTP 响应头中的 Content-Security-Policy 或者 X-Content-Security-Policy 字段来实现。 CSP 格式如下：


Content-Security-Policy: policy-directive; policy-directive


其中，policy-directive 可以包括以下类型：

- default-src：定义页面上所有资源默认来源；
- script-src：定义可执行脚本的来源；
- style-src：定义可使用的样式表来源；
- img-src：定义可使用的图片资源来源；
- media-src：定义可使用的音视频来源；
- font-src：定义可使用的字体来源等。

例如，可以使用以下 CSP 来限制仅从当前源加载可执行脚本：


Content-Security-Policy: script-src 'self';


这将防止其他域（如恶意网站）注入恶意脚本，提高了 Web 应用程序的安全性。