<meta http-equiv="Content-Security-Policy" content="script-src 'self'">
参数说明：
| 指令 | 取值示例 | 说明 |
|---|---|---|
| default-src | 'self' cdn.example.com | 定义针对所有类型（js/image/css/web font/ajax/iframe/多媒体等）资源的默认加载策略，某类型资源如果没有单独定义策略，就使用默认。 |
| script-src |
'self' js.example.com *.54php.cn *://*.54php.cn https://*.54php.cn |
定义针对JavaScript的加载策略 |
| object-src | 'self' | 针对,, 等标签的加载策略 |
| style-src | 'self' css.example.com | 定义针对样式的加载策略 |
| img-src | 'self' image.example.com | 定义针对图片的加载策略 |
| media-src | 'media.example.com' | 针对或者引入的html多媒体等标签的加载策略 |
| frame-src | 'self' | 针对iframe的加载策略 |
| connect-src | 'self' | 针对Ajax、WebSocket等请求的加载策略。不允许的情况下，浏览器会模拟一个状态为400的响应 |
| font-src | font.qq.com | 针对Web Font的加载策略 |
| sandbox | allow-forms allow-scripts | 对请求的资源启用sandbox |
| report-uri | /some-report-uri | 告诉浏览器如果请求的资源不被策略允许时，往哪个地址提交日志信息。不阻止任何内容，可以改用Content-Security-Policy-Report-Only头 |
| base-uri | 'self' | 限制当前页面的url（CSP2） |
| child-src | 'self' | 限制子窗口的源(iframe、弹窗等),取代frame-src（CSP2） |
| form-action | 'self' | 限制表单能够提交到的源（CSP2） |
| frame-ancestors | 'none' | 限制了当前页面可以被哪些页面以iframe,frame,object等方式加载（CSP2） |
| plugin-types | application/pdf | 限制插件的类型（CSP2） |
来源：https://www.cnblogs.com/yiyangl/p/12198212.html