Что такое CSP

Content Security Policy (CSP) — это механизм безопасности, который помогает предотвращать XSS, инъекции кода и другие атаки, позволяя разработчикам указывать, какие источники контента (скрипты, стили, изображения и т. д.) разрешены для загрузки на странице. Пример заголовка CSP: ``` Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com; style-src 'self' 'unsafe-inline'; ``` **Ключевые директивы:** - `default-src` — резервный источник для других типов контента - `script-src` — разрешённые источники скриптов - `style-src` — источники стилей (`'unsafe-inline'` разрешает inline-стили) - `img-src` — источники изображений **Особенности:** - Можно использовать nonce или хэши для inline-скриптов/стилей - Отчёт о нарушениях через `report-uri` - Поддержка в современных браузерах Пример с nonce: ```html ``` CSP-заголовок должен включать этот nonce: ``` script-src 'nonce-abc123' ```