编辑“︁JavaScript内容安全策略（CSP）”︁（章节）

== 代码示例 ==

=== 基本策略示例 ===
以下是一个简单的CSP策略，仅允许加载同源的脚本和样式：
<syntaxhighlight lang="http">
Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self';
</syntaxhighlight>

=== 允许特定CDN的脚本 ===
如果网站使用了jQuery等库，可以允许特定CDN的脚本：
<syntaxhighlight lang="http">
Content-Security-Policy: script-src 'self' https://code.jquery.com;
</syntaxhighlight>

=== 内联脚本的处理 ===
默认情况下，CSP会阻止内联脚本（如`<script>alert('test');</script>`）。如果需要允许内联脚本，可以使用`'unsafe-inline'`，但这是不推荐的：
<syntaxhighlight lang="http">
Content-Security-Policy: script-src 'self' 'unsafe-inline';
</syntaxhighlight>

更安全的方式是使用'''nonce'''或'''hash'''：
<syntaxhighlight lang="html">
<script nonce="random123">
  alert('Allowed because of nonce');
</script>
</syntaxhighlight>
对应的CSP头：
<syntaxhighlight lang="http">
Content-Security-Policy: script-src 'nonce-random123';
</syntaxhighlight>