Content Security Policy: что это
Коротко
Content Security Policy: hTTP-заголовок со списком разрешённых источников скриптов, стилей, картинок, фреймов и т. п. Блокирует инлайн-скрипты без nonce или хеша, поэтому внедрённый код не выполнится.
Определение
HTTP-заголовок со списком разрешённых источников скриптов, стилей, картинок, фреймов и т. п. Блокирует инлайн-скрипты без nonce или хеша, поэтому внедрённый код не выполнится. Это второй рубеж защиты от XSS, а frame-ancestors ещё и от кликджекинга.
Подробнее
Строгая CSP: script-src 'nonce-...' 'strict-dynamic'; object-src 'none'; base-uri 'none'.
Вопросы по теме с собеседований
Запомните, а не прочитайте
В тренажёре карточка вернётся, когда начнёт забываться. А билеты по Браузер и DOM проверят, что термин понятен в деле.