Content-Security-Policy添加白名单

Content-Security-Policy (CSP) 是一种HTTP头部策略，它允许网站开发者控制页面内容的安全来源，通常用于防止跨站脚本攻击（XSS）和恶意资源注入。通过添加白名单，CSP规定了哪些源可以加载什么样的资源，比如JavaScript、样式表、图片等。

在CSP中，添加白名单的基本语法是使用`src`属性，并指定允许的资源类型和URL模式。例如：

Content-Security-Policy: script-src 'self' https://example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;

这里解释一下几个关键点：
- `'self'`: 表示只允许从当前域名加载资源。
- `https://example.com`: 添加了一个特定的外部JavaScript库的源地址到白名单。
- `'unsafe-inline'`: 允许内联样式，但这通常被认为是一个安全风险，应谨慎使用。
- `data:`: 允许使用data-uri协议加载本地数据，如base64编码的图片。