Что такое Content Security Policy (CSP) и как она усиливает безопасность?

Question

Accepted Answer

## Суть
**CSP** — политика браузера (defense in depth): что можно исполнять, откуда грузить ресурсы, кто может фреймить страницу и т.д.

Современная XSS-устойчивая политика авторизует скрипты через **nonce** или **hashes** на ответ, а не «все скрипты с origin». Предпочтительнее HTTP-заголовок: `<meta>` поддерживает не все директивы (например, нет полноценного `frame-ancestors`).

```http
Content-Security-Policy: default-src 'self'; script-src 'nonce-r4nd0m'; object-src 'none'; base-uri 'none'
```

CSP не заменяет безопасный вывод HTML — это дополнительный слой.

**Итог:** CSP ограничивает, что браузер согласится выполнить/загрузить; nonce/hash лучше `'unsafe-inline'`.