nginx 设置通用 Content-Security-Policy

可以通过在 nginx 的配置文件中添加以下内容来设置通用 Content-Security-Policy：

add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' cdn.example.com; style-src 'self' 'unsafe-inline' cdn.example.com; img-src 'self' data: cdn.example.com; font-src 'self' data: cdn.example.com; connect-src 'self' api.example.com;";

其中，`default-src` 表示所有未列明的资源（如音频、视频、字体等）都从同源获取，`script-src` 表示 JavaScript 脚本只能从同源和 cdn.example.com 获取，`style-src` 表示样式表只能从同源和 cdn.example.com 获取，`img-src` 表示图片只能从同源、data: 和 cdn.example.com 获取，`font-src` 表示字体只能从同源、data: 和 cdn.example.com 获取，`connect-src` 表示 AJAX 请求只能向同源和 api.example.com 发送。其中，`'unsafe-inline'` 和 `'unsafe-eval'` 是为了兼容一些老式的 JavaScript 应用程序，不建议使用，应该尽量避免使用。