Content Security Policy (CSP) is an added layer of security that helps to detect and mitigate certain types of attacks, including Cross-Site Scripting (XSS) and data injection attacks. These attacks are used for everything from data theft, to site defacement, to malware distribution.

CSP là một lớp security trong việc giới hạn nguồn của resource được load cho một page. Backend cần gửi về các option trong header Content-Security-Policy. Browser chịu trách nhiệm implement các cơ chế giới hạn đó. Chỉ cần chỉ định header Content-Security-Policy cho các resource cho execution context như: HTML, embedded resource (frame, embed).

Ví dụ bạn có /index trả về HTML, trong HTML có load script.js, style.css, thì chỉ cần set header Content-Security-Policy cho response của /index. Các resource load từ page /index sẽ tuân theo policy của /index.

Tham khảo các directive.