CSP策略

Content-Security-Policy: default-src 'self'; 
    script-src 'self' 'unsafe-inline'; 
    style-src 'self' 'unsafe-inline';

安全头

X-Frame-Options、X-Content-Type-Options、Referrer-Policy等安全头配置。