Что такое Content Security Policy (CSP)?

Content Security Policy (CSP) — HTTP-заголовок, который указывает браузеру, какие ресурсы разрешено загружать и выполнять на странице. CSP блокирует inline-скрипты, ограничивает источники для скриптов, стилей, изображений, шрифтов и фреймов. Это мощнейший барьер против XSS: даже если атакующий внедрит <script>, браузер не выполнит его, потому что inline-скрипты запрещены политикой.