常用指令
| 指令 | 作用 |
|---|---|
| default-src | 默认资源白名单 |
| script-src | 脚本来源限制（核心） |
| style-src | 样式来源限制 |
| img-src | 图片来源限制 |
| frame-ancestors | 允许被哪些页面嵌套（防点击劫持） |
| report-uri / report-to | 违规报告上报地址 |
Report-Only 观察模式
Report-Only 观察模式
add_header Content-Security-Policy-Report-Only "default-src 'self'; report-uri /csp-report" always;迁移到严格模式前先处理内联脚本：抽取为外链或使用 nonce/hash（'nonce-随机值'、'sha256-...'）。