内容安全策略（csp）是一种安全机制，通过在web应用程序中实施一组策略，帮助防止和减轻特定类型的攻击，如跨站脚本攻击（xss）。csp通过定义哪些资源可以加载，以及如何执行脚本，来减少安全风险。 以下是csp的底层原理： 1，指定策略：web应用程序通过http响应头中包含‘content-security-policy’字段来定义csp策略。这个字段包含一系列指令和参数，用于规定允许加载的资源类型，来源，以及脚本的执行方式。 例如，可以限制只允许从特定域加载脚本或样式表。 示例：
Content-Security-Policy:default-src 'self';script-src 'self' https://trusted-scripts.com
上述策略表示默认资源只能从同一域加载，而脚本只能从同一域和‘trusted-scripts.com’加载
2，资源加载限制：csp通过指令如‘script-src’，‘style-src’等，限制了不同类型资源等加载来源。这有助于防止恶意脚本或样式表的注入。资源的来源可以是域名，域名通配符，或者特殊的关键词如‘self’
3，非ceshi脚本执行：csp还可以通过‘nonce’或‘hash’来限制脚本的执行。使用‘nonce’时，服务器生成一个随机值，将其包含在脚本标签中，并在csp策略中指定。只有拥有正确nonce的脚本才能执行。使用‘hash’时，将脚本内容的哈希值包含在csp策略中，确保只有特定内容的脚本能够执行。 示例：
Content-Security-Policy: script-src 'nonce-abc123'
上述策略表示只有包含正确nonce值脚本才能执行。
4，报告机制：csp还提供了一个报告机制，允许网站管理员收到关于被阻止的违规行为报告。有助于开发人员识别和修复可能的问题。
具体怎么设置csp 设置csp涉及在http响应头中添加‘Content-Security-Policy’字段，并定义一系列指令和参数来规定浏览器如何加载和执行资源。 1，仅允许同一域加载所有资源：
Content-Security-Policy: default-src 'self';
2，允许加载外部脚本和样式表：
Content-Security-Policy: script-src 'self' https://trusted-scripts.com; style-src 'self' https://trusted-styles.com;
上述策略表示只允许从同一域和https://trusted-scripts.com加载脚本，以及从同一域和https://trusted-styles.com加载样式表。
3，限制脚本执行，使用nonce:
Content-Security-Policy: script-src 'nonce-abc123'
上述策略表示只允许包含正确nonce值（例如，<script nonce="abc123">...</script>）的脚本执行。服务器会为每个页面生成一个唯一的nonce值，然后将其包含在csp策略中。
4，限制脚本执行，使用哈希值：
Content-Security-Policy:script-src 'sha256-abcdef1234567890';
上述策略表示只允许包含特定内容哈希值的脚本执行。
5，启用报告机制
default-src 'self'; report-uri /report-violation-endpoint;
上述策略表示允许从同一域加载资源，违规行为被报告到指定的/report-violation-endpoint地址。
