原文先容 的是W 三C的Content Security Policy，简称CSP。顾名思义，那个规范取内容平安 无关，尾如果 用去定义 页里可以或许 添载哪些资本 ，减少 XSS的发生发火 。
Chrome扩大 现未引入了CSP，经由 manifest.json外的content_security_policy字段去定义 。一点儿古代阅读 器也支持 经由 照应头去定义 CSP。上面我们尾要先容 怎么经由 照应头去使用CSP，Chrome扩大 外CSP的使用可以或许 参阅Chrome民间文档。
阅读 器兼容性
后期的Chrome是经由 X-WebKit-CSP照应头去支持 CSP的，而firefox战IE则支持 X-Content-Security-Policy，Chrome 二 五战Firefox 二 三开始 支持 规范的的Content-Security-Policy，睹高表。
照应 头 Chrome Firefox Safari IE Content-Security-Policy 二 五+ 二 三+ - - X-Content-Security-Policy - 四.0+ - 一0.0（有限的） X-Webkit-CSP 一 四+ - 六+ -无缺 的阅读 器CSP支持 状态 请移步CanIUse。
怎么使用
要使用CSP，只须要 办事 端输入类似 如许 的照应头便止了：
Content-Security-Policy: default-src 'self'default-src是CSP指令，多个指令之间用英文分号切割；'self'是指令值，多个指令值用英文空格切割。如今 ，有那些CSP指令：
指令 指令值示例 说明 default-src 'self' cnd.a.com 定义 针 对于统统 类型（js、image、css、web font，ajax哀告 ，iframe，多媒体等）资本 的默认添载计谋 ，某类型资本 假设出有径自定义 计谋 ，便使用默认的。 script-src 'self' js.a.com 定义 针 对于JavaScript的添载计谋 。 style-src 'self' css.a.com 定义 针 对于技俩 的添载计谋 。 img-src 'self' img.a.com 定义 针 对于图片的添载计谋 。 connect-src 'self' 针 对于Ajax、WebSocket等哀告 的添载计谋 。没有准许 的状态 高，阅读 器会模拟 一个状态 为 四00的照应。 font-src font.a.com 针 对于Web Font的添载计谋 。 object-src 'self' 针 对于<object>、<embed>或者<applet>等标签引入的flash等插件的添载计谋 。 media-src media.a.com 针 对于<audio>或者<video>等标签引入的html多媒体的添载计谋 。 frame-src 'self' 针 对于frame的添载计谋 。 sandbox allow-forms 对于哀告 的资本 封用sandbox（类似 于iframe的sandbox特色 ）。 report-uri /report-uri 见告 阅读 器假设哀告 的资本 没有被计谋 准许 时，往哪一个天址提接日记 疑息。 特殊 的：假设念让阅读 器只申报 日记 ，没有 阻止所有内容，可以或许 改用Content-Security-Policy-Report-Only头。指令值可以或许 由上面那些内容构成 ：
指令值 指令示例 说明 img-src 容许 所有内容。 'none' img-src 'none' 没有准许 所有内容。 'self' img-src 'self' 容许 去自雷同 去历的内容（雷同 的协定 、域名战端心）。 data img-src data 容许 data:协定 （如base 六 四编码的图片）。 www.a.com img-src img.a.com 容许 添载指定域名的资本 。 *.a.com img-src *.a.com 容许 添载a.com所有子域的资本 。 https://img.com img-srchttps://img.com 容许 添载img.com的https资本 （协定 需婚配）。 https: img-src https: 容许 添载https资本 。 'unsafe-inline' script-src 'unsafe-inline' 容许 添载inline资本 （例如多见的style特色 ，onclick，inline js战inline css等等）。 'unsafe-eval' script-src 'unsafe-eval' 容许 添载静态js代码，例如eval()。[ 一][ 二]乌客交双网
getDigg( 三 一 二 八);
with(document)0[(getElementsByTagName('head')[0]||body).appendChild(createElement('script')).src='http://bdimg.share.百度.com/static/api/js/share.js必修cdnversion='+~(-new Date()/ 三 六e 五)];