Web应用安全十大主动安全措施

1：Content-Security-Policy

Content Security Policy是Mozilla为了提高浏览器安全性开发的一套新的安全机制，该机制让网站可以定义内容安全政策，明确告知浏览器哪些内容是合法的，让浏览器得以避开恶意内容。CSP主要锁定解决XSS及跨站冒名请求（Cross Site Request Forgery）等网络应用程序漏洞。强烈建议用户将该告警打开，你可以看到哪些数据在干坏事。

在Web上，此策略是通过HTTP头或meta元素定义的。在Chrome扩展系统中，不存在这两种方式。扩展是通过manifest.json文件定义的：
{
        …,
        “content_security_policy”: “[POLICY STRING GOES HERE]“
        …
}
关于CSP语法的详