CSP 用来限制页面能加载哪些资源，本文讲清各条指令的含义、常用的几种策略写法，以及上线时用 Report-Only 先观察再收紧的做法。