在HTTP中，CSP是内容安全策略（Content Security Policy）的缩写。CSP是一种Web应用程序安全机制，可以帮助防止恶意攻击，特别是跨站点脚本攻击（XSS）。frame-src是CSP指令之一，用于指定一个白名单，列出了允许从哪些源加载内嵌框架（iframe）。

例如，以下CSP声明将只允许来自example.com和example.org的页面加载在您的网页中：


Content-Security-Policy: frame-src 'self' example.com example.org;


如果页面中有一个内嵌框架，其src属性为"https://example.com", 那么它将被允许加载。但如果src属性为"https://evil.com"，则会被拒绝加载。