Что такое Content Security Policy (CSP)?

CSP (Политика защиты контента) — это HTTP-заголовок, который защищает фронтенд от XSS-атак (внедрения вредоносного JavaScript).

Сервер передает браузеру заголовок Content-Security-Policy, в котором жестко прописан белый список доменов, откуда разрешено загружать скрипты, картинки и стили.

Пример: Content-Security-Policy: default-src 'self'; script-src https://trusted.com
Если хакер внедрит на страницу тег <script src="http://hacker.com/virus.js">, браузер заблокирует его выполнение, так как домена hacker.com нет в белом списке CSP.