Content-Security-Policy（CSP）是一种HTTP响应头，它允许Web开发人员定义客户端浏览器中可信任的内容来源，以减少恶意攻击和数据泄露的风险。这可以限制在您网站中执行脚本、CSS和其他资源的来源。

以下是一个例子CSP头：


Content-Security-Policy: default-src 'self'; script-src 'self' https://apis.google.com


该策略允许加载来自同一域名的所有资源（例如图片和样式），并且仅允许从https://apis.google.com源加载脚本。这将有效地防止通过未知来源的脚本进行XSS攻击，并确保不会在您的网站上加载非授权的JavaScript代码。