csp主要是方式xss注入(网页注入js，跨域攻击)

1.使用方法：head里面添加meta属性值为http-equiv="Content-Security-Policy"
例如：全部仅加载本地资源， <meta http-equiv="Content-Security-Policy" content="default-src 'self'"/>
2.资源加载限制
script-src：外部脚本
style-src：样式表
img-src：图像
media-src：媒体文件（音频和视频）
font-src：字体文件
object-src：插件（比如 Flash）
child-src：框架
frame-ancestors：嵌入的外部资源（比如<frame>、<iframe>、<embed>和<applet>）
connect-src：HTTP 连接（通过 XHR、WebSockets、EventSource等）
worker-src：worker脚本
manifest-src：manifest 文件
3.关键词： 'self' -当前域名   'none' - 禁止加载任何外部
例如：仅允许加载当前域名的图片,本地css及bootsrtaps的css  <meta http-equiv="Content-Security-Policy" content="img-src 'self',style-src 'self' https://www.bootcss.com/ "/>
4.report-uri：反馈注入报告，当发现注入行为，会给指定连接发送一个报告文件

例如：<meta http-equiv="Content-Security-Policy" content="default-src 'self',report-uri '/my_amazing_csp_report_parser'"/>

<meta http-equiv="Content-Security-Policy" content="script-src 'self' https://cdn.bootcss.com",report-uri '/my_amazing_csp_report_parser'"/>
<meta http-equiv="Content-Security-Policy" content="default-src 'self',report-uri '/my_amazing_csp_report_parser'"/>
<meta http-equiv="Content-Security-Policy" content="img-src 'self',style-src 'self' https://cdn.jsdelivr.net/ "/>
<link rel="stylesheet" type="text/css" href="https://cdn.jsdelivr.net/npm/bootstrap@3.3.7/dist/css/bootstrap.min.css"/>

这样限制之后，其余的js/css等文件将不能被引入，浏览器会自动识别！