CSP（Content Security Policy）是为了解决 Web 应用程序中的安全问题而创建的一种规范。
CSP 通过限制 Web 应用程序能够加载和执行的内容，来减少恶意攻击的成功率。具体来说，CSP 允许 Web 应用程序管理员定义哪些来源可以加载资源和运行 JavaScript 等代码。这些源可以是域名、协议或端口号等。
当浏览器尝试加载一个 Web 页面时，它会检查页面是否包含 CSP 头，并根据该头信息确定允许加载哪些资源。如果某个资源的来源不在允许列表内，则浏览器将停止加载该资源并向用户发出警告。这样就可以防止注入恶意代码并帮助保护用户隐私和身份。
CSP 的工作流程如下：
- 客户端请求 Web 页面。
- 服务器返回 Web 页面及相关资源，并设置 CSP 头。
- 浏览器解析 Web 页面，并根据 CSP 头信息确定允许加载哪些资源。
- 如果某个资源的来源不在允许列表内，则浏览器将停止加载该资源并向用户发出警告。
需要注意的是，在实际应用中，Web 开发人员需要谨慎设置 CSP 规则，以确保不会限制正常的 Web 应用程序功能。此外，开发人员也需要定期审核 CSP 规则，以确保其仍然适用于最新的 Web 应用程序版本。
总之，CSP 的原理是通过限制 Web 应用程序能够加载和执行的内容，来减少恶意攻击的成功率。它可以帮助保护用户隐私和身份，并提高 Web 应用程序的安全性。
