| 名称 | Content-Security-Policy（CSP） |
|---|---|
| 作用 | 限制脚本/样式/图片/连接等资源来源 |
| 规范 | W3C CSP Level 3 |
| 部署 | 先用 Content-Security-Policy-Report-Only 观察再强制 |
常用基线（含 nonce）
常用基线（含 nonce）
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'nonce-$request_id'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'" always;CSP 配置错误会整站脚本失效；上线前用报告模式（report-only）收集违规，逐项放行，避免一次收紧打挂页面。