CSP (Content Security Policy) 是一种安全策略，用于帮助减轻 Web 应用程序中的 XSS (跨站脚本攻击) 和数据注入攻击等风险。 default-src 是 CSP 指令之一，指定了在没有其他特定源指令匹配的情况下，可以从哪些源加载资源。

例如，以下 CSP 头将默认允许从同一站点加载所有内容（包括图片、CSS、脚本和字体）：


Content-Security-Policy: default-src 'self';


如果您还想允许从特定的外部域名加载脚本，则可以使用以下 CSP 头：


Content-Security-Policy: default-src 'self'; script-src 'unsafe-inline' https://example.com;


这将允许来自当前网站的任何资源，并且允许从 example.com 加载内联脚本。注意，'unsafe-inline' 值被添加到 script-src 指令中，以允许在 HTML 中使用内联脚本。