add_header Content-Security-Policy-Options

`Content-Security-Policy-Options` (CSP-OPTIONS) 是一个 HTTP 首部字段，用于在客户端发起实际的 `Content-Security-Policy` 请求之前，预先检查服务器上 CSP 的配置。这个选项允许浏览器在执行 CSP 之前发送一个安全检查请求，以确保策略的正确性和安全性。

CSP-OPTIONS 主要用于以下几个目的：
1. **预加载验证**：浏览器在实际加载资源（如 JavaScript、样式表或图片）前先发送一个 `CSP-OPTIONS` 请求，获取 CSP 字符串，检查是否存在任何语法错误或禁止的源，从而避免潜在的安全问题。
2. **缓存策略**：如果服务器返回 `Content-Only`，那么浏览器会仅缓存 CSP 的元数据，不会将其应用于后续的请求，这样可以避免恶意攻击者利用缓存中的 CSP 来绕过安全限制。
3. **防御跨站策略嗅探**：通过这个选项，网站可以防止恶意第三方猜测和利用 CSP 的实际值，因为它们只会看到 `Report-Only`。

如果你在设置响应头时使用 `add_header Content-Security-Policy-Options`，通常是配合 `Content-Security-Policy` 来提高站点的安全性。例如：

add_header Content-Security-Policy-Options "report-uri /csp-violation-report";

这里，`report-uri` 指定了当遇到潜在的 CSP 违规时，浏览器应将报告发送到哪个URL。