内容安全CSP与子资源完整性SRI实践

内容安全CSP与子资源完整性SRI实践概览内容安全策略能有效降低 XSS 风险，SRI 保障外链资源未被篡改。技术参数（已验证）CSP：通过白名单与策略头控制脚本/样式来源；`nonce`/`hash` 支持细粒度放行。SRI：在 `<script>`/`<link>` 上使用哈希校验外链资源的完整性，浏览器不匹配则拒绝加载。报告：`report-to`/`report-uri` 收集违规与威胁情报，辅助迭代策略。实战清单采用 `strict-dynamic` 与 `nonce` 组合，减少内联脚本风险。对第三方资源强制 SRI 并监控变更。