مثلاً script-src 'self' اسکریپت inline را میبندد. دامنهی خسارت یک باگ XSS را کم میکند، ولی جای escape را نمیگیرد.
Content Security Policy
هدر پاسخی که به مرورگر میگوید صفحه از چه منبعهایی اجازهی اسکریپت و محتوای دیگر دارد.
مثلاً script-src 'self' اسکریپت inline را میبندد. دامنهی خسارت یک باگ XSS را کم میکند، ولی جای escape را نمیگیرد.