CSP（内容安全策略）

内容安全策略（CSP，Content Security Policy）是一种通过限制浏览器执行不安全内容来减少跨站点脚本攻击（XSS）等Web攻击的机制。

CSP是通过在HTTP响应头中设置一个特定的策略指令来实现的。例如，以下HTTP响应头设置了一个CSP策略，指示浏览器只允许从特定的源加载JavaScript文件：

Content-Security-Policy: script-src 'self' https://apis.google.com

上面的CSP策略指示浏览器只允许从当前站点（‘self’）和Google API服务器（https://apis.google.com）加载JavaScript文件。如果页面中的任何JavaScript代码试图从其他源加载或执行，浏览器将拒绝执行这些代码并抛出一个错误。

CSP还可以指定允许的图片、样式表、字体和其他资源的来源，以及禁止使用内联脚本和样式等不安全的内容。CSP还支持报告功能，可以将被阻止的不安全请求报告给服务器，以便开发人员及时检测并修复问题。

需要注意的是，正确地配置CSP需要开发者对Web应用程序中的资源来源有深入的了解，并进行适当的配置。同时，CSP本身也存在一些局限性，例如无法防止服务器端攻击等问题，因此需要综合使用其他安全技术来保护Web应用程序的安全。

总结来说：CSP的实现的原理是 对于站点加载的任何资源都有指定，从而避免的外部的js代码注入，html注入
（核心原理是通过限制站点加载的资源来源来保证站点安全，防止恶意代码的注入。）