如何启用Content-Security-Policy，验证referer头的来源

要启用Content-Security-Policy并验证referer头的来源，您可以按照以下步骤进行操作：

1. 在Nginx配置文件中添加以下内容：

add_header Content-Security-Policy "default-src 'self' xxx.xxx.com(允许的地址)";

这将启用Content-Security-Policy，并将允许的地址设置为xxx.xxx.com。

2. 验证referer头的来源，您可以使用以下配置：

if ($http_referer !~ "^https?://(www\.)?example\.com/") {
    return 403;
}

这将验证referer头的来源是否为example.com。如果不是，则返回403错误。

请注意，上述配置中的xxx.xxx.com和example.com应替换为您实际允许的地址和验证的来源。