How does Content Security Policy ( CSP ) work?

内容安全策略（CSP）是一个额外的安全层，用来帮助检测和减轻某些类型的攻击，包括跨站脚本攻击（XSS）和数据注入攻击等。CSP 主要通过指定可信执行哪些类型的资源（例如 JavaScript、CSS、HTML 等），来增强网站的安全性。

CSP 通过服务器向浏览器发送特定的 HTTP 头部实现。这个头部被称为 Content-Security-Policy，它定义了浏览器应该如何执行页面的策略，以及哪些外部资源可以加载和执行。

举例来说，如果一个网页设定了以下的 CSP 策略：

plaintext
Content-Security-Policy: default-src 'self'; script-src 'self' https://apis.example.com

这条策略告诉浏览器：

• 默认情况下，只允许加载和执行来自于同一来源（即同一域名）的资源。
• 对于脚本（如 JavaScript），除了允许来自同一来源的脚本外，还可以从指定的 https://apis.example.com 加载脚本。

通过这种方式，如果攻击者尝试注入恶意脚本到页面中，这些脚本将会被阻止执行，因为它们的来源不符合 CSP 中定义的安全列表。

使用 CSP 可以显著增强应用程序的安全防护，尤其是在防止 XSS 攻击方面。然而，配置 CSP 需要精细的平衡，过于严格的策略可能会破坏网站的功能，而过于宽松则可能放松安全防护。因此，在实施 CSP 时，通常需要根据应用的具体需求来调整策略。