X-Content-Security-Policy

X-Content-Security-Policy (X CSP) 是一种HTTP响应头，用于帮助网站开发者控制页面内容的安全性。它提供了一种策略，定义了哪些资源（如外部脚本、样式、图片等）可以从哪个源加载，以及使用何种类型的加载行为。X CSP旨在防止跨站脚本攻击（XSS）和其他与内容安全相关的威胁。

X CSP允许网站设置以下几个关键部分：

1. **默认-src**: 指定所有资源的默认来源，如果没有明确指定其他来源，这些内容将从这里加载。

2. **script-src**: 控制JavaScript的来源，可以设置为特定的URL、'self'（当前域）、'none'（禁用）等。

3. **style-src**: 类似于script-src，但用于样式表。

4. **img-src**: 控制图片和其他媒体资源的来源。

5. **connect-src**: 对于xhr、fetch请求等网络连接的控制。

6. **frame-src**: 用于控制内嵌的IFrame。

7. **base-uri**: 设置HTML文档的基础URI。

8. **form-action**: 确保表单数据仅发送到指定的URL。

X CSP提供了几种模式如`require-trust`, `block`, 和 `report-uri`，以提供更细致的控制和报告机制。