本文目录一览：
- 1、Content Security Policy 是什么？为什么它能抵御 XSS 攻击
- 2、csp是什么意思？
- 3、Web前端一般用什么开发工具
- 4、如何添加 content-security-policy 头？
- 5、如何添加 content-security-policy 头
Content Security Policy 是什么？为什么它能抵御 XSS 攻击
个人愚见，首先CSP是可以在一定程度上提高XSS的攻击难度的，甚至杜绝XSS，前提是CSP策略用的好。还要考虑CSP能否普及，因为CSP在提供安全性的同时也提高了前端逻辑的复杂度，很多资源需要调整，类似QQ，新浪，搜狐这样的站群，想通过合适的CSP同时提高安全性和易用性是很难的。
csp是什么意思？
1、内容安全策略：
CSP指的是内容安全策略，为了缓解很大一部分潜在的跨站脚本问题，浏览器的扩展程序系统引入了内容安全策略（CSP）的一般概念。
2、加密服务提供程序：
加密服务提供程序 (CSP) 是 Windows 操作系统中提供一般加密功能的硬件和软件组件。可以编写这些 CSP 以提供各种加密和签名算法。
3、美国注册安全师：
美国注册安全师(CSP)，CSP(Certified Safety Professional)即注册安全师，是由美国注册安全师委员会(BCSP)授予的满足并达到要求的安全师。
4、共空间模式：
CSP是共空间模式的简称，用于找到最优空间投影。共空间模式算法最早由Fukunage等人提出，通过K-L变换用来实现分类的，之后，Romeser和他的同事把它用在BCI中。
5、约束满足问题：
CSP（约束满足问题）：由一个变量集合和一个约束集合组成。问题的一个状态是由对一些或全部变量的一个赋值定义的完全赋值：每个变量都参与的赋值。问题的解是满足所有约束的完全赋值，或更进一步，使目标函数最大化。
扩展资料
内容安全策略中，CSP以白名单的机制对网站加载或执行的资源起作用。在网页中，这样的策略通过 HTTP 头信息或者 meta 元素定义。CSP虽然提供了强大的安全保护，但是他也造成了如下问题：Eval及相关函数被禁用、内嵌的JavaScript代码将不会执行、只能通过白名单来加载远程脚本。
这些问题阻碍CSP的普及，如果要使用CSP技术保护自己的网站，开发者就不得不花费大量时间分离内嵌的JavaScript代码和做一些调整，参考文献汇总的Content Security Policy 1.0 研究的技术可以自动化分离代码和数据，帮助网站支持CSP技术避免潜在的跨站攻击。
参考资料来源：百度百科-CSP
Web前端一般用什么开发工具
编辑器: sublime, webstorm, atom, vim等
调试工具: 浏览器自带的devtools，移动端页面远程调试等
构建工具: gulp, grunt, webpack
包管理工具: bower
远程服务器工具: filezilla/shell
工具主要作用就是帮工程师减少工作量，自动化处理，如压缩css, 合并js/css, 上传cdn, 图片优化, 管理jquery等三方库
如何添加 content-security-policy 头？
加上下面META
meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:"
CSP简介：
1、CSP官网是这样介绍它的：“The new Content-Security-Policy HTTP response header helps you reduce XSS risks on modern browsers by declaring what dynamic resources are allowed to load via a HTTP Header.”
2、大意是说，通过在http的响应头中设定csp的规则，可以规定当前网页可以加载的资源的白名单，从而减少网页受到XSS攻击的风险。所以说csp是一个在现代浏览器加载资源白名单的安全机制，只有响应头中白名单里列出的资源才能够被加载、执行。
如何添加 content-security-policy 头
加上下面META
meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:"
CSP简介：
1、CSP官网是这样介绍它的：“The new Content-Security-Policy HTTP response header helps you reduce XSS risks on modern browsers by declaring what dynamic resources are allowed to load via a HTTP Header.”
2、大意是说，通过在http的响应头中设定csp的规则，可以规定当前网页可以加载的资源的白名单，从而减少网页受到XSS攻击的风险。所以说csp是一个在现代浏览器加载资源白名单的安全机制，只有响应头中白名单里列出的资源才能够被加载、执行。